View a markdown version of this page

Wie AWS Network Security Manager funktioniert - AWS Manager für Netzwerksicherheit
AWS Network Security Manager-RessourcenmodellAWS Lebenszyklus, Zusammenführung und Synchronisation von Network Security Manager-Ressourcen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Wie AWS Network Security Manager funktioniert

Verwenden Sie das AWS Network Security Manager-Ressourcenmodell, um Netzwerksicherheitsmaßnahmen für Ressourcen in einem einzigen Konto oder für mehrere Konten in Ihrem Unternehmen zu entwerfen und zu verwalten. In diesem Kapitel werden die fünf Ressourcentypen, ihre Hierarchiebildung und die wichtigsten Konzepte erläutert, die ihr Verhalten bestimmen.

AWS Network Security Manager-Ressourcenmodell

AWS Network Security Manager verwendet fünf Ressourcentypen, die in einer Kompositionshierarchie angeordnet sind:

Regeln und Vorlagen sind in Richtlinien enthalten. Eine Bereitstellung verknüpft Richtlinien mit einem Bereich.

Ressourcen verweisen in der Hierarchie nach oben aufeinander. Regeln werden in Vorlagen und Richtlinien verwendet. Vorlagen, Regeln oder beides werden in Richtlinien verwendet. Ein Geltungsbereich bezieht sich auf die Ressourcen, die Richtlinien innerhalb einer Bereitstellung schützen.

In den folgenden Abschnitten werden die einzelnen Ressourcentypen in der Hierarchie beschrieben.

Regel — Die atomare Einheit der Netzwerksicherheitskonfiguration. Es gibt zwei Arten von Regeln: Regeln zur Überprüfung des Datenverkehrs und Regeln für die Firewall-Konfiguration. Die Verkehrsinspektion konzentriert sich darauf, wie der Sicherheitsdienst mit dem Verkehr umgeht. Eine Konfigurationsregel spezifiziert Systemvorgänge außerhalb der Verkehrsinspektion. Die Struktur einer Regel variiert je nach Firewalltyp.

Vorlage — Eine geordnete, wiederverwendbare Gruppe von Regeln für einen einzelnen Firewalltyp. Verwenden Sie Vorlagen, um verwandte Regeln zu bündeln und sie für mehrere Richtlinien gemeinsam zu nutzen. Vorlagen sind optional.

Richtlinie — Kombiniert einen geordneten Satz von Vorlagen und Regeln mit Erzwingungseinstellungen für einen Firewalltyp. Jede Richtlinie hat eine Priorität (eine niedrigere Zahl bedeutet eine höhere Priorität). Wenn mehrere Richtlinien dieselbe Ressource schützen, bestimmt die Priorität, wie Konflikte gelöst werden. Bei Regeln für Verkehrsinspektionen bestimmt die Priorität die Reihenfolge, in der die Regeln zusammengefasst werden. Bei Firewall-Konfigurationsregeln bestimmt die Priorität, welche Konfiguration für jede Ressource und die darin enthaltenen Richtlinien gilt.

Geltungsbereich — Eine deklarative Auswahl der Bereiche, in denen Schutzmaßnahmen gelten. Ein Bereich gibt an, welche Ressourcentypen geschützt werden sollen, und Sie können Ressourcen optional nach Tag oder Konfigurationsattribut filtern. Im Modus mit mehreren Konten gibt ein Bereich auch an, welche Konten oder Organisationseinheiten ein- oder ausgeschlossen werden sollen. Im Einzelkontenmodus bezieht sich der Geltungsbereich auf das Konto selbst. Der Modus eines Bereichs ist festgelegt, wenn Sie ihn erstellen. Sie können einen Bereich in keiner der beiden Richtungen zwischen dem Modus für mehrere Konten und dem Modus für ein einzelnes Konto wechseln, sodass aus einem Bereich mit mehreren Konten niemals ein Bereich mit einem einzigen Konto werden kann oder umgekehrt.

Bereitstellung — Bindet eine oder mehrere Richtlinien an einen Geltungsbereich. Durch die Veröffentlichung einer Bereitstellung wird die Durchsetzung aktiviert. AWS Network Security Manager erkennt Ressourcen im Bereich, berechnet die vorgesehene Konfiguration und korrigiert optional nicht synchronisierte Ressourcen.

Grenzwerte für die Ressourcenzusammensetzung finden Sie unter. AWS Network Security Manager-Kontingente

AWS Lebenszyklus, Zusammenführung und Synchronisation von Network Security Manager-Ressourcen

In den folgenden Abschnitten werden die Verhaltensweisen und Mechanismen erläutert, die bestimmen, wie AWS Network Security Manager-Ressourcen funktionieren, nachdem Sie sie erstellt haben.

Entwurf und aktiver Lebenszyklus

Jede AWS Network Security Manager-Ressource — einschließlich Regeln, Vorlagen, Richtlinien, Bereichen und Bereitstellungen — hat den Status Entwurf oder Aktiv:

  • Aktiv — Der Standardstatus. Die Ressource ist veröffentlicht und kann verwendet werden. Andere Ressourcen können auf sie verweisen, und Bereitstellungen, die sie enthalten, setzen ihre Konfiguration durch.

  • Entwurf — Die Ressource wurde gespeichert, ist aber noch nicht aktiv. Entwurfsressourcen werden nicht erzwungen und können nicht von anderen Ressourcen referenziert werden. Wenn Sie eine Ressource erstellen oder aktualisieren, wählen Sie Entwurf speichern, um sie im Entwurfsstatus zu belassen.

Standardmäßig erstellt AWS Network Security Manager Ressourcen als Aktiv. Um eine Ressource mithilfe der API als Entwurf zu erstellen, setzen Sie den isPublished Parameter false im Erstellungs- oder Aktualisierungsvorgang auf.

Wenn Sie eine Ressource aktualisieren, gelten die folgenden Szenarien:

Aktueller Status Action Ergebnis
Entwurf Wählen Sie Entwurf speichern Aktualisieren Sie den Entwurf (bleibt Entwurf)
Entwurf Wählen Sie Veröffentlichen Veröffentlichen Sie den Entwurf (wird aktiv)
Aktiv Wählen Sie Veröffentlichen Aktualisieren und aktiv bleiben (Aktiv)
Aktiv Wählen Sie Entwurf speichern Erstellen Sie ein Entwurf-Overlay (wird zu Entwurf mit einer aktiven Ressource darunter)

Das hasPublishedVersion Feld erscheint in der Liste und Sie erhalten Antworten. In diesem Feld erfahren Sie, ob unter einem Entwurf eine veröffentlichte aktive Ressource vorhanden ist. Wenn eine Ressource den Status Entwurf hat und hasPublishedVersion: true ein ausstehender Entwurf über einer aktiven, veröffentlichten aktiven Ressource steht.

Sie können keine aktive Ressource löschen, auf die eine andere aktive Ressource verweist.

Versionsverwaltung

Jede AWS Network Security Manager-Ressource — einschließlich Regeln, Vorlagen, Richtlinien, Bereichen und Bereitstellungen — kann versioniert werden. Um eine Version einer aktiven Ressource zu erstellen, wählen Sie die Ressource aus, klicken Sie auf Aktion und anschließend auf Versionierten Snapshot erstellen. Versionen werden nicht bei jedem Update automatisch erstellt.

AWS CLI-Alternative

Sie können eine Version auch mithilfe des Create{Resource}Snapshot API-Vorgangs für eine aktive Ressource erstellen.

Die wichtigsten Eigenschaften der Version:

  • Jede Version hat eine eindeutige Nummer (eine sequentielle Ganzzahl) und einen versionsqualifizierten ARN (z. B.). arn:aws:network-security-manager:us-east-1:123456789012:rule:abc123:3

  • Versionen sind unveränderlich. Sie können nicht aktualisiert werden.

  • Sie können bis zu 10 Versionen pro Ressource erstellen.

  • Versionen können mit Tags versehen werden.

Verwenden Sie Versionen, um die gewünschten Konfigurationsvarianten beizubehalten. Um eine Ressource rückgängig zu machen, lesen Sie eine Version und aktualisieren Sie dann die Live-Ressource mit der gewünschten Konfiguration der Version.

Priority-based Zusammenführung von Richtlinien

Wenn mehrere Richtlinien dieselbe Ressource schützen, führt AWS Network Security Manager ihre Konfigurationen zu einem einzigen Ergebnis zusammen. Eine niedrigere Prioritätszahl steht für eine höhere Priorität (Priorität 1 hat Vorrang vor Priorität 2). Wenn AWS Network Security Manager Richtlinien zusammenführt, die Regeln zur Überprüfung des Datenverkehrs enthalten, bestimmt die Priorität die Reihenfolge, in der die Regeln zusammengefasst werden. Bei Firewall-Konfigurationsregeln bestimmt die Richtlinie mit höherer Priorität, welche Konfiguration gilt.

AWS Network Security Manager bewertet die Priorität auf zwei Ebenen, und zwar in dieser Reihenfolge:

  1. Administratorpriorität — AWS Network Security Manager bewertet zuerst die Administratorpriorität. Jedem Organisationsadministrator wird eine Priorität zugewiesen, wie unter beschriebenAdministrator- und Mitgliedskonten. Wenn AWS Network Security Manager Richtlinien zusammenführt, stuft er eine Administratorrichtlinie höher ein als die Einzelkonto-Richtlinie eines Mitgliedskontos. Wenn sowohl eine Administratorrichtlinie als auch die Einzelkonto-Richtlinie eines Mitgliedskontos für eine Ressource gelten und ein Konflikt entsteht, gewinnt die Konfiguration der Administratorrichtlinie. Ein Mitgliedskonto kann sich nicht von einer Administratorrichtlinie abmelden, sie außer Kraft setzen oder sich selbst davon ausnehmen.

  2. Richtlinienpriorität — Innerhalb jedes Kontos verwendet AWS Network Security Manager dann die Richtlinienpriorität, um verbleibende Konflikte zu lösen. Die Werte für die Richtlinienpriorität sind ganze Zahlen, die bei 1 beginnen und für jedes Konto eindeutig sein müssen.

Sie legen die Administratorpriorität mit dem erforderlichen priority Feld für den PutAdminAccount Vorgang fest, einer Ganzzahl zwischen 1 und 10. Prioritätswerte sind einzigartig, sodass zwei Administratoren nie dieselbe Priorität haben und es ist auch kein Gleichstand erforderlich. Weitere Informationen finden Sie in der AWS Network Security Manager API-Referenz.

Das zusammengeführte Ergebnis aller geltenden Richtlinien für eine Ressource ist die effektive Firewall-Konfiguration. AWS Network Security Manager berechnet diese Konfiguration, vergleicht sie mit der tatsächlichen Konfiguration der Ressource und meldet alle Unterschiede als Synchronisierungsstatus.

Wenn Richtlinien kollidieren, vergleicht AWS Network Security Manager jedes Attribut und wendet den Wert aus der Richtlinie mit höherer Priorität an. Wenn die Richtlinie mit der höheren Priorität kein Attribut definiert, gilt der Richtlinienwert mit niedrigerer Priorität. Eine Ressource, die der effektiven Konfiguration entspricht, ist IN_SYNC. Eine Ressource, die durch eine Richtlinie mit niedrigerer Priorität geschützt ist, deren Einstellungen durch eine Richtlinie mit höherer Priorität außer Kraft gesetzt wurden, wird für die Bereitstellung mit niedrigerer Priorität als OUT_OF_SYNC gemeldet. Dies ist ein erwartetes Verhalten, kein Fehler.

Ressourcenerkennung mit AWS Config

AWS Network Security Manager erkennt geschützte Ressourcen in Ihren Konten mithilfe eines serviceverknüpften AWS Config-Konfigurationsrekorders. Dieser Rekorder wird automatisch für jedes Konto erstellt, wenn dieses Konto in den Geltungsbereich einer Bereitstellung fällt. Im Gegensatz zu AWS Firewall Manager müssen Sie keine zusätzlichen Einstellungen vornehmen. AWS Die Nutzung der Config durch AWS Network Security Manager wird dem AWS Network Security Manager-Kunden nicht in Rechnung gestellt.

Hauptmerkmale des serviceverknüpften Rekorders:

  • Sie heißt AWSConfigurationRecorderForNetworkSecurityManager.

  • Er ist unabhängig von allen vom Kunden verwalteten Konfigurationsrekordern im Konto.

  • Es zeichnet nur die Ressourcentypen auf, die für Ihre aktiven Bereiche und Bereitstellungen relevant sind.

  • Sie müssen AWS Config nicht einrichten oder einen Konfigurationsrekorder erstellen. AWS Network Security Manager verwaltet dies automatisch. AWS Die Nutzung der Config durch AWS Network Security Manager wird dem Kunden nicht in Rechnung gestellt.

  • Sie können den Rekorder nicht ändern oder löschen, während er verwendet wird. AWS Network Security Manager verwaltet seinen Lebenszyklus automatisch.

Sie müssen AWS Config nicht manuell aktivieren oder konfigurieren, damit AWS Network Security Manager funktioniert. Der Dienst führt die Ressourcenerkennung automatisch durch, nachdem Sie eine Bereitstellung veröffentlicht haben.

Synchronisation und Problembehebung

Die Durchsetzung in AWS Network Security Manager erfolgt asynchron und letztlich konsistent. Nachdem Sie eine Einrichtung veröffentlicht haben oder wenn sich eine Ressource ändert, finden die folgenden Phasen statt:

  1. Ressourcenerkennung — AWS Network Security Manager erkennt Ressourcen im Gültigkeitsbereich mithilfe eines serviceverknüpften AWS Config-Recorders.

  2. Berechnung der Konfiguration — Für jede erkannte Ressource berechnet AWS Network Security Manager die effektive Firewall-Konfiguration, indem er alle geltenden Richtlinien nach Priorität zusammenführt.

  3. Bewertung der Synchronisation — AWS Network Security Manager vergleicht die effektive Konfiguration mit der tatsächlichen Konfiguration der Ressource und zeichnet einen Synchronisierungsstatus auf.

  4. Korrektur (optional) — Wenn Sie die Richtlinie aktivierenremediationEnabled, korrigiert AWS Network Security Manager nicht synchronisierte Ressourcen, sodass sie der effektiven Konfiguration entsprechen.

Jede Phase ist asynchron. Konsequenzen für Ihren Arbeitsablauf:

  • Es gibt eine Verzögerung zwischen der Veröffentlichung einer Bereitstellung und dem Schutz der Ressourcen.

  • Es gibt eine Verzögerung zwischen der Erstellung einer neuen Ressource im Geltungsbereich und ihrem Schutz.

  • Der Last Checked Zeitstempel auf den Einträgen zum Synchronisierungsstatus gibt an, wann AWS Network Security Manager eine Ressource zuletzt bewertet hat.

Bei der Problembehebung und der Säuberung von Ressourcen handelt es sich um Einstellungen auf Richtlinienebene. Sie konfigurieren jede Richtlinie pro Richtlinie im Objekt. policyConfiguration

remediationEnabled

Gibt an, ob AWS Network Security Manager nicht konforme Ressourcen automatisch behebt. Wenn Sie diese Einstellung aktivieren, korrigiert AWS Network Security Manager Ressourcen, die nicht synchron sind, sodass sie der aktuellen Konfiguration entsprechen.

resourcesCleanUp

Gibt an, ob AWS Network Security Manager die von ihm erstellten Ressourcen automatisch entfernt, wenn sie nicht mehr benötigt werden. AWS Network Security Manager löscht eine Firewall, die er erstellt hat, wenn Sie die Bereitstellung entfernen oder wenn das Konto oder die Ressource den Gültigkeitsbereich überschreitet.

Die resourcesCleanUp Einstellungen remediationEnabled und beide sind standardmäßig auf false eingestellt. AWS Network Security Manager repariert oder bereinigt Ressourcen erst, wenn Sie diese Einstellungen aktivieren. Das policyConfiguration Objekt gilt auchwafConfig, was für AWS WAF-Richtlinien gilt. Weitere Informationen finden Sie in der AWS Network Security Manager API-Referenz.

Wenn eine Ressource nicht synchron ist, enthält der Synchronisierungsstatus Gründe für die Nichtsynchronisierung sowie Details zu den einzelnen Einstellungen, die erwartete Werte im Vergleich zu den tatsächlichen Werten zeigen. Die Gründe sind in die folgenden Kategorien unterteilt:

  • missingFirewall— Der Ressource ist kein Firewall-Schutz zugeordnet.

  • invalidFirewall— Eine Firewall ist vorhanden, aber ihre Konfiguration unterscheidet sich von der effektiven Konfiguration. Dazu gehören sechs Detailbereiche:incorrectSingleValueConfigurations,missingAppendableConfigurationValues,unexpectedAppendableConfigurationValues, incorrectAppendableConfigurationOrdermissingMergeableConfigurationValues, undunexpectedMergeableConfigurationValues.

Wenn die Problembehebung aktiviert ist, AWS Network Security Manager jedoch eine Ressource nicht reparieren kann, enthält das remediationIssues Feld eine message Beschreibung des Problems und einen correctiveAction Vorschlag zur Lösung des Problems. issueType

AWS Network Security Manager bewertet keine Einstellungen, die er nicht verwaltet. Wenn ein Feld in keiner beitragenden Regel vorkommt, ignoriert AWS Network Security Manager es bei der Synchronisierungsauswertung.

Administrator- und Mitgliedskonten

AWS Network Security Manager verwendet ein kontenübergreifendes Verwaltungsmodell, das auf AWS Organizations basiert:

  • Administratorkonto — Das Konto, mit dem Sie AWS Network Security Manager-Ressourcen (Regeln, Vorlagen, Richtlinien, Bereiche und Bereitstellungen) erstellen und verwalten. Sie bestimmen ein oder mehrere Administratorkonten mit jeweils einer Priorität von 1 bis 10.

  • Mitgliedskonten — Die Konten, bei denen AWS Network Security Manager Ressourcen erkennt, den Synchronisierungsstatus auswertet und optional nicht synchronisierte Konfigurationen korrigiert. AWS Network Security Manager agiert in Mitgliedskonten über eine dienstbezogene Rolle. Weitere Informationen finden Sie unter Service-linked Rolle.

Sie können jeden Administrator optional auf eine Untergruppe von Konten, Organisationseinheiten und Firewalltypen beschränken. Verwenden Sie diese Funktion, um die Verwaltung bestimmter Bereiche an verschiedene Teams zu delegieren.

AWS Network Security Manager ist ein regionaler Dienst. Sie erstellen Ressourcen und Bereitstellungen pro Region ohne regionsübergreifende Abhängigkeiten.

Service-linked Rolle

AWS Network Security Manager verwendet eine mit dem IAM-Dienst verknüpfte Rolle, die so benannt istAWSServiceRoleForNetworkSecurityManager, dass sie in Ihrem Namen in den Mitgliedskonten Ihrer Organisation agiert. Diese Rolle vertraut dem Dienstprinzipal. network-security-manager.amazonaws.com Sie verwendet die NetworkSecurityManagerServiceRolePolicy AWS verwaltete Richtlinie.

AWS Network Security Manager erstellt diese Rolle automatisch, wenn Sie den Dienst aktivieren, sodass keine manuelle Einrichtung erforderlich ist. Mit dieser Rolle kann AWS Network Security Manager die AWS WAF- und AWS Shield Advanced-Schutzmaßnahmen verwalten, geschützte Ressourcen über AWS Config ermitteln und kontenübergreifende Operationen ausführen. Weitere Informationen finden Sie unter Verwenden von serviceverknüpften Rollen für AWS Manager für Netzwerksicherheit.