Verificare che i sistemi di bilanciamento del carico ELB richiedano la terminazione TLS

Creato da Priyanka Chaudhary (AWS)

Ambiente: produzione

Tecnologie: rete; sicurezza, identità, conformità

Servizi AWS: Amazon CloudWatch Events; Elastic Load Balancing (ELB); AWS Lambda

Riepilogo

Sul cloud Amazon Web Services (AWS), Elastic Load Balancing (ELB) distribuisce automaticamente il traffico delle applicazioni in entrata su più destinazioni, come istanze Amazon Elastic Compute Cloud (Amazon EC2), contenitori, indirizzi IP e funzioni AWS Lambda. I sistemi di bilanciamento del carico utilizzano i listener per definire le porte e i protocolli utilizzati dal sistema di bilanciamento del carico per accettare il traffico dagli utenti. Gli Application Load Balancer prendono decisioni di routing a livello di applicazione e utilizzano i protocolli HTTP/HTTPS. Gli Classic Load Balancer prendono decisioni di routing a livello di trasporto, utilizzando i protocolli TCP o Secure Sockets Layer (SSL), o a livello di applicazione, utilizzando HTTP/HTTPS.

Questo modello fornisce un controllo di sicurezza che esamina diversi tipi di eventi per Application Load Balancers e Classic Load Balancers. Quando la funzione viene richiamata, AWS Lambda ispeziona l'evento e garantisce che il sistema di bilanciamento del carico sia conforme.

La funzione avvia un evento Amazon CloudWatch Events sulle seguenti chiamate API: CreateLoadBalancer, CreateLoadBalancerListeners, DeleteLoadBalancerListeners, CreateLoadBalancerPolicy, SetLoadBalancerPoliciesOfListener, CreateListenerDeleteListener, e ModifyListener. Quando l'evento rileva una di queste API, chiama AWS Lambda, che esegue uno script Python. Lo script Python valuta se il listener contiene un certificato SSL e se la politica applicata utilizza Transport Layer Security (TLS). Se si determina che la politica SSL è diversa da TLS, la funzione invia una notifica Amazon Simple Notification Service (Amazon SNS) all'utente con le informazioni pertinenti. 

Prerequisiti e limitazioni

Prerequisiti

• Un account AWS attivo

Limitazioni

• Questo controllo di sicurezza non verifica la presenza di sistemi di bilanciamento del carico esistenti, a meno che non venga effettuato un aggiornamento dei listener del sistema di bilanciamento del carico.

• Questo controllo di sicurezza è regionale. Devi distribuirlo in ogni regione AWS che desideri monitorare.

Architettura

Architettura Target

Automazione e scalabilità

• Se utilizzi AWS Organizations, puoi utilizzare AWS Cloudformation StackSets per distribuire questo modello in più account che desideri monitorare.

Strumenti

Servizi AWS

• AWS CloudFormation: AWS ti CloudFormation aiuta a modellare e configurare le tue risorse AWS, effettuarne il provisioning in modo rapido e coerente e gestirle per tutto il loro ciclo di vita. Puoi utilizzare un modello per descrivere le tue risorse e le loro dipendenze e lanciarle e configurarle insieme come uno stack, invece di gestire le risorse singolarmente.

• Amazon CloudWatch Events: Amazon CloudWatch Events offre un flusso quasi in tempo reale di eventi di sistema che descrivono i cambiamenti nelle risorse AWS.

• AWS Lambda: AWS Lambda è un servizio di elaborazione che supporta l'esecuzione di codice senza effettuare il provisioning o la gestione di server.

• Amazon S3 — Amazon Simple Storage Service (Amazon S3) è un servizio di storage di oggetti altamente scalabile che può essere utilizzato per un'ampia gamma di soluzioni di storage, tra cui siti Web, applicazioni mobili, backup e data lake.

• Amazon SNS — Amazon Simple Notification Service (Amazon SNS) coordina e gestisce la consegna o l'invio di messaggi tra editori e clienti, inclusi server Web e indirizzi e-mail. I sottoscrittori ricevono tutti gli stessi messaggi pubblicati sugli argomenti ai quali sono hanno effettuato la sottoscrizione.

Codice

Questo modello include i seguenti allegati:

• ELBRequirestlstermination.zip— Il codice Lambda per il controllo di sicurezza.

• ELBRequirestlstermination.yml— Il CloudFormation modello che configura l'evento e la funzione Lambda.

Epiche

Configura il bucket S3

Attività	Descrizione	Competenze richieste
Definisci il bucket S3.	Sulla console Amazon S3, scegli o crea un bucket S3 per ospitare il file.zip con codice Lambda. Questo bucket S3 deve trovarsi nella stessa regione AWS del load balancer che desideri valutare. Il nome di un bucket S3 è unico a livello globale e lo spazio dei nomi è condiviso da tutti gli account AWS. Il nome del bucket S3 non può includere barre iniziali.	Architetto del cloud
Carica il codice Lambda.	Carica il codice Lambda (ELBRequirestlstermination.zipfile) fornito nella sezione Allegati nel bucket S3.	Architetto del cloud

Implementa il modello CloudFormation

Attività	Descrizione	Competenze richieste
Avvia il CloudFormation modello AWS.	Apri la CloudFormation console AWS nella stessa regione AWS del bucket S3 e distribuisci il modello allegato. ELBRequirestlstermination.yml Per ulteriori informazioni sulla distribuzione di CloudFormation modelli AWS, consulta Creazione di uno stack sulla CloudFormation console AWS nella CloudFormation documentazione.	Architetto del cloud
Completa i parametri nel modello.	Quando avvii il modello, ti verranno richieste le seguenti informazioni: Bucket S3: specifica il bucket che hai creato o selezionato nella prima epic. Qui è dove hai caricato il codice Lambda allegato (ELBRequirestlstermination.zipfile). Chiave S3: specifica la posizione del file.zip Lambda nel bucket S3 (ad esempio o). ELBRequirestlstermination.zip controls/ELBRequirestlstermination.zip Non includere le barre iniziali. E-mail di notifica: fornisci un indirizzo e-mail attivo a cui desideri ricevere le notifiche di Amazon SNS. Livello di registrazione Lambda: specifica il livello e la frequenza di registrazione per la funzione Lambda. Utilizzate Info per registrare messaggi informativi dettagliati sullo stato di avanzamento, Errore per gli eventi di errore che potrebbero comunque consentire la continuazione della distribuzione e Avviso per situazioni potenzialmente dannose.	Architetto del cloud

Confermare la sottoscrizione

Attività	Descrizione	Competenze richieste
Confermare la sottoscrizione.	Quando il CloudFormation modello viene distribuito correttamente, invia un'e-mail di iscrizione all'indirizzo e-mail fornito. È necessario confermare questa sottoscrizione e-mail per iniziare a ricevere notifiche di violazione.	Architetto del cloud

Risorse correlate

• Creazione di uno stack sulla CloudFormation console AWS ( CloudFormation documentazione AWS)

• Cos'è AWS Lambda? (documentazione AWS Lambda)

• Cos'è un Classic Load Balancer? (documentazione ELB)

• Cos'è un Application Load Balancer? (documentazione ELB)

Allegati

Per accedere al contenuto aggiuntivo associato a questo documento, decomprimi il seguente file: attachment.zip