檢查 IPv4 和 IPv6 的安全性群組輸入規則中的單一主機網路項目 - AWS Prescriptive Guidance

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

檢查 IPv4 和 IPv6 的安全性群組輸入規則中的單一主機網路項目

由賽耶凡惡靈 (AWS) 和約翰雷諾 (AWS) 創建

生產

技術:網路;安全、身份、合規

AWS 服務:Amazon SNS; AWS CloudFormation; Amazon CloudWatch; AWS Lambda; 亞馬遜 VPC

Summary

此模式提供安全控制,在 Amazon Web Services (AWS) 資源不符合您的規格時通知您。它提供 AWS Lambda 函數,可在網際網路通訊協定第 4 版 (IPv4) 和 IPv6 安全群組來源位址欄位中尋找單一主機網路項目。Lambda 日誌會在 Amazon CloudWatch Events 偵測到 Amazon Elastic Compute Cloud (Amazon EC2) 時啟動 Lambda 函數AuthorizeSecurityGroupIngress API 呼叫。Lambda 函數中的自訂邏輯會評估安全性群組輸入規則之 CIDR 區塊的子網路遮罩。如果子網路遮罩被判定為 /32 (IPv4) 或 /128 (IPv6) 以外的任何項目,則 Lambda 函數會使用 Amazon 簡易通知服務 (Amazon SNS) 傳送違規通知。

先決條件和限制

先決條件

  • 作用中的 AWS 帳戶

  • 您想要收到違規通知的電子郵件地址

限制

  • 此安全監控解決方案是區域性的,必須部署在您要監控的每個 AWS 區域中。

Architecture

目標技術堆疊

  • Lambda 功能

  • SNS 主題

  • Amazon EventBridge 規則

目標架構

自動化與擴充

Tools

AWS 服務

  • AWS CloudFormation— CloudFormation 是一項服務,可協助您使用基礎設施作為程式碼來塑造模型並進行設定,以作為程式碼。

  • Amazon EventBridge— EventBridge 可從自有應用程式、軟體即服務 (SaaS) 應用程式和 AWS 服務提供即時資料串流,然後將該資料路由到 Lambda 函數等目標。

  • AWS Lambda— Lambda 支援執行程式碼,無需佈建或管理伺服器。

  • Amazon S3— Amazon Simple Storage Service (Amazon S3) 是一種可高度擴展的物件儲存服務,可用於各種儲存解決方案,包括網站、行動應用程式、備份和資料湖。

  • Amazon SNS— Amazon SNS 協調與管理發佈商和用戶端之間的訊息交付或傳送,包括 Web 伺服器和電子郵件地址。訂閱者會收到發佈到所訂閱主題的所有訊息,且某一主題的所有訂閱者均會收到相同訊息。

Code

附加的程式碼包括:

  • 包含 Lambda 安全性控制程式碼的 .zip 檔案 (index.py)

  • 您執行以部署 Lambda 程式碼的 CloudFormation 範本 (.yml 檔案)。

Epics

任務描述必須具備才能
為 Lambda 程式碼建立 S3 儲存貯體。

在 Amazon S3 主控台上,建立具有不包含前導斜線的唯一名稱的 S3 儲存貯體。S3 儲存貯體的名稱必須是全域唯一,且命名空間會由所有 AWS 帳戶共享。您的 S3 儲存貯體必須位於您打算部署安全群組入口檢查的 AWS 區域中。

雲端架構師
將 Lambda 程式碼上傳至 S3 儲存貯體。

上傳提供的 Lambda 程式碼 (security-control-lambda.zip 檔案)附件區段至您在上一個步驟中建立的 S3 儲存貯體。

雲端架構師
任務描述必須具備才能
部署 AWS CloudFormation 範本。

在 AWS CloudFormation 主控台上,在與 S3 儲存貯體相同的 AWS 區域中,部署附件區段。

雲端架構師
指定 S3 儲存貯體名稱。

對於S3 儲存貯體參數,請指定您在第一個史詩中建立的 S3 儲存貯體名稱。

雲端架構師
指定 Lambda 檔案的 Amazon S3 金鑰名稱。

對於S3 金鑰參數,請在 S3 儲存貯體中指定 Lambda 程式碼 .zip 檔案的 Amazon S3 位置。請勿包含前導斜線 (例如,您可以輸入 lambda.zip 或 controls/lambda.zip)。

雲端架構師
提供通知電子郵件地址。

對於通知電子郵件參數,請提供您想要接收違規通知的電子郵件地址。 

雲端架構師
定義記錄層級。

對於Lambda 日誌層級參數中,定義 Lambda 函數的記錄層級。請選擇下列其中一個值:

  • INFO,以取得有關應用程式進度的詳細資訊訊息。

  • 錯誤以取得可能仍允許應用程式繼續執行之錯誤事件的相關資訊。

  • WARNING,以取得潛在危害情況的相關資訊。

雲端架構師
任務描述必須具備才能
確認訂閱。

當 CloudFormation 範本部署成功後,系統會建立新的 SNS 主題,並將訂閱訊息傳送到您提供的電子郵件地址。您必須確認此電子郵件訂閱才能接收違規通知。

雲端架構師

Attachments

attachment.zip