Processo di creazione standard per AWS Shield Advanced

Con il processo di creazione standard, puoi configurare ogni componente di AWS Shield Advanced (politiche, ambiti e implementazioni) individualmente per il controllo completo. Utilizza questo approccio quando desideri creare componenti riutilizzabili e combinarli secondo necessità.

Una policy AWS Shield Advanced è semplice e non contiene regole, gruppi di regole o modelli. Quando si applica la policy, AWS Network Security Manager crea una protezione DDoS AWS Shield Advanced in ogni account interessato. Per informazioni sul funzionamento di AWS Network Security Manager, consulta. In che modo AWS Network Security Manager funziona

Per creare una policy - (console)

Completa questa procedura:

1. Accedere alla Console di AWS gestione utilizzando l'account amministratore di AWS Network Security Manager, quindi aprire la console di AWS Network Security Manager all'indirizzo https://console.aws.amazon.com/network-security-manager/.

   Configurazione dell'account amministratore

   Per informazioni sulla configurazione di un account amministratore di AWS Network Security Manager, vedereConfigurazione AWS Responsabile della sicurezza di rete.

2. Nel pannello di navigazione, scegli AWS Network Security Manager, quindi Panoramica.

3. Nel riquadro Panoramica, scegli Crea politica. Immettete un nome e una descrizione facoltativa, quindi scegliete un tipo di firewall (in questo caso, AWS Shield Advanced).

4. Nel riquadro di priorità delle politiche, imposta la priorità. AWS Network Security Manager valuta le politiche in base alla loro priorità per risolvere i conflitti. Le posizioni più basse (numeri interi inferiori) hanno una priorità più alta.

   Per modificare la priorità, scegliete il valore Posizione. Quindi incrementalo con le frecce o inserisci direttamente un valore. Per confermare la selezione, scegliete Conferma. Per annullare la modifica, scegliete Annulla.

5. Nel riquadro di configurazione della politica, decidi le azioni automatiche che AWS Network Security Manager intraprende nell'ambito di destinazione:

   • La riparazione applica la politica definita a tutte le risorse il cui stato di sicurezza non corrisponde allo stato desiderato descritto da AWS Network Security Manager.

   • La pulizia delle risorse elimina la protezione DDoS creata da AWS Network Security Manager per una risorsa quando la distribuzione viene rimossa o quando l'account o la risorsa non rientrano nell'ambito.

   • La risoluzione degli attacchi DDoS dei clienti esistenti determina come risolvere i conflitti tra la politica che si sta definendo e quella che potrebbe essere già implementata. Dal menu, scegli una delle seguenti opzioni:

     • Nessuna riparazione salta la correzione su tutte le risorse che dispongono già di una protezione DDoS.

     • L'associazione Override sostituisce la protezione DDoS esistente con la protezione DDoS creata da Network Security Manager AWS .

     • Retrofit aggiorna le proprie regole su ogni protezione DDoS esistente e mantiene la protezione DDoS associata alla risorsa.

Per creare un ambito (console)

Completa questa procedura:

1. Nel riquadro dei dettagli dell'ambito, inserisci un nome dell'ambito e una descrizione opzionale.

2. Multi-account solo modalità

   Questo passaggio si applica solo alla modalità multi-account. In modalità multi-account, utilizza il riquadro secondario di selezione dell'account e dell'unità organizzativa per scegliere quali account o unità organizzative includere o escludere. In modalità account singolo, questo riquadro secondario non viene visualizzato nella console, quindi salta questo passaggio.

   Nel riquadro di selezione Account e unità organizzativa, scegli uno dei tre metodi per controllare l'ambito amministrativo:

   • Ambito AWS dell'intera organizzazione (tutte le unità organizzative e gli account): non è richiesta alcuna ulteriore definizione.

   • Riguarda l'intera AWS organizzazione ma esclude unità organizzative e account specifici: vengono visualizzati due riquadri secondari, uno per le unità organizzative e uno per gli account. Scegli Aggiungi unità organizzative per aprire la finestra Aggiungi unità organizzative, seleziona le unità organizzative necessarie, quindi scegli Aggiungi unità organizzative. Per aggiungere singoli account, nel riquadro secondario Account, scegli Aggiungi account, seleziona gli account e quindi scegli Aggiungi account.

   • Non limitarti all'intera AWS organizzazione, ma includi solo unità organizzative e account specifici: utilizza gli stessi pannelli secondari per aggiungere unità organizzative o account.

3. Quindi, seleziona le risorse nel riquadro secondario Risorse. Nella casella di selezione Tipi di risorse, selezionate tutti o alcuni tipi di risorse AWS Shield Advanced. Per AWS Shield Advanced, le opzioni sono una o tutte le seguenti:

   • Application Load Balancer

   • CloudFront Distribution (Distribuzione)

   • Classic Load Balancer

   • indirizzo IP elastico

4. Per ogni tipo di risorsa selezionato, scegliete una delle seguenti opzioni che si escludono a vicenda:

   • Includi tutte le risorse

   • Includi risorse specifiche

   • Escludi risorse specifiche

5. Se scegli Includi risorse specifiche, seleziona uno dei seguenti tipi di espressione:

   • Criteri singoli

   • Soddisfa tutti i criteri (AND)

   • Corrisponde a qualsiasi criterio (OR)

   • NON

6. Ogni tipo di espressione supporta criteri di inclusione e ARN singoli o multipli, quindi puoi creare combinazioni di tag o ARN. Tutti i tipi di risorse supportano i criteri di inclusione Tag e ARN. Se scegli Tag, identifica una chiave e un valore opzionale. Puoi identificare più tag.

CloudFront Requisito regionale

Per proteggere le risorse di CloudFront distribuzione, utilizzate la regione Stati Uniti orientali (Virginia settentrionale) (us-east-1).

Per creare una distribuzione (console)

Una distribuzione vincola le politiche a un ambito e ne attiva l'applicazione. AWS Network Security Manager applica quindi le protezioni DDoS AWS Shield Advanced alle risorse pertinenti.

Completa questa procedura:

1. Nella pagina Panoramica, nel riquadro Panoramica, scegli Crea distribuzione.

2. Scegli la politica che desideri implementare.

3. Scegli l'ambito che definisce gli account e le risorse in cui AWS Network Security Manager applica la politica.

4. Per Nome della distribuzione, inserisci un nome. (Facoltativo) In Descrizione, immetti una descrizione.

5. (Facoltativo) Per rendere la distribuzione visibile agli altri account dell'organizzazione, seleziona Abilita la visibilità tra account per questa distribuzione.

6. (Facoltativo) Per aggiungere tag, scegli Aggiungi nuovo tag, quindi inserisci le combinazioni di chiavi e valori opzionali.

7. Scegliere Create and deploy (Crea e implementa). Viene visualizzata la pagina Distribuzioni, in cui è possibile visualizzare i dettagli di ciò che AWS Network Security Manager ha creato.

Le distribuzioni potrebbero comportare costi

Una distribuzione crea servizi di sicurezza di rete e li collega a una risorsa protetta. AWS Network Security Manager addebita i costi per le risorse protette. I servizi di sicurezza stessi proteggono la risorsa, il che comporta costi aggiuntivi. Prima della distribuzione, consulta la pagina dei prezzi di AWS Network Security Manager e la pagina dei prezzi di AWS Shield Advanced.