Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Cómo AWS Network Security Manager funciona

Utilice el modelo de recursos de AWS Network Security Manager para diseñar y administrar las protecciones de seguridad de la red para los recursos de una sola cuenta o de varias cuentas de su organización. En este capítulo se explican los cinco tipos de recursos, cómo forman una jerarquía y los conceptos clave que rigen su comportamiento.

AWS Modelo de recursos de Network Security Manager

AWS Network Security Manager utiliza cinco tipos de recursos organizados en una jerarquía de composición:

Los recursos hacen referencia entre sí hacia arriba en la jerarquía. Las reglas se utilizan en las plantillas y políticas. Las plantillas, las reglas o ambas se utilizan en las políticas. Un ámbito hace referencia a los recursos que las políticas protegen dentro de una implementación.

En las siguientes secciones se describe cada tipo de recurso de la jerarquía.

Regla: la unidad atómica de la configuración de seguridad de la red. Existen dos tipos de reglas: reglas de inspección de tráfico y reglas de configuración de firewall. La inspección de tráfico se centra en la forma en que el servicio de seguridad aborda el tráfico. Una regla de configuración especifica las operaciones del sistema fuera de la inspección de tráfico. La estructura de una regla varía según el tipo de firewall.

Plantilla: grupo de reglas ordenadas y reutilizables para un único tipo de firewall. Utilice plantillas para empaquetar las reglas relacionadas y compartirlas en varias políticas. Las plantillas son opcionales.

Política: combina un conjunto ordenado de plantillas y reglas con la configuración de aplicación de un tipo de firewall. Cada política tiene una prioridad (un número más bajo indica una prioridad más alta). Cuando varias políticas protegen el mismo recurso, la prioridad determina cómo se resuelven los conflictos. En el caso de las reglas de inspección de tráfico, la prioridad determina el orden en que se agregan las reglas. En el caso de las reglas de configuración del firewall, la prioridad determina qué configuración se aplica a cada recurso y sus políticas incluidas en el ámbito de aplicación.

Alcance: una selección declarativa de los lugares en los que se aplican las protecciones. Un ámbito especifica los tipos de recursos que se deben proteger y, si lo desea, puede filtrar los recursos por etiqueta o atributo de configuración. En el modo multicuenta, un ámbito también especifica qué cuentas u OU se deben incluir o excluir. En el modo de cuenta única, el alcance se aplica a la propia cuenta. El modo de un osciloscopio es fijo al crearlo. No puedes cambiar un ámbito entre el modo multicuenta y el modo de cuenta única en ninguna dirección, por lo que un ámbito multicuenta nunca puede convertirse en uno de cuenta única, ni al revés.

Implementación: vincula una o más políticas a un ámbito. La publicación de una implementación activa su aplicación. AWS Network Security Manager descubre los recursos del ámbito, calcula la configuración prevista y, de forma opcional, corrige los recursos no sincronizados.

Para conocer los límites de composición de los recursos, consulte. AWS Cuotas de Network Security Manager

AWS Ciclo de vida de los recursos, fusión y sincronización de Network Security Manager

En las siguientes secciones se explican los comportamientos y los mecanismos que rigen el funcionamiento de los recursos de AWS Network Security Manager una vez creados.

Borrador y ciclo de vida activo

Todos los recursos de AWS Network Security Manager, incluidas las reglas, las plantillas, las políticas, los ámbitos y las implementaciones, tienen el estado Borrador o Activo:

De forma predeterminada, AWS Network Security Manager crea los recursos como activos. Para crear un recurso como borrador mediante la API, defina el isPublished parámetro false en la operación de creación o actualización.

Al actualizar un recurso, se aplican los siguientes escenarios:

El hasPublishedVersion campo aparece en la lista y obtiene las respuestas. Este campo indica si existe un recurso activo publicado debajo de un borrador. Cuando un recurso tiene el estado Borrador y hasPublishedVersion: true un borrador pendiente se coloca encima de un recurso activo publicado y activo.

No puede eliminar un recurso activo al que haga referencia otro recurso activo.

Control de versiones

Se pueden versionar todos los recursos de AWS Network Security Manager, incluidas las reglas, las plantillas, las políticas, los ámbitos y las implementaciones. Para crear una versión de un recurso activo, seleccione el recurso, elija Acción y, a continuación, elija Crear instantánea versionada. Las versiones no se crean automáticamente en cada actualización.

Propiedades clave de la versión:

Utilice las versiones para conservar las variantes de configuración deseadas. Para revertir un recurso, lea una versión y, a continuación, actualice el recurso activo con la configuración deseada de la versión.

Priority-based fusión de políticas

Cuando varias políticas protegen el mismo recurso, AWS Network Security Manager combina sus configuraciones en un único resultado. Un número de prioridad más bajo indica una prioridad más alta (la prioridad 1 tiene prioridad sobre la prioridad 2). Cuando AWS Network Security Manager combina políticas que contienen reglas de inspección de tráfico, la prioridad determina el orden en que se agregan las reglas. En el caso de las reglas de configuración del firewall, la política de mayor prioridad determina qué configuración se aplica.

AWS Network Security Manager evalúa la prioridad en dos niveles, en este orden:

La prioridad del administrador se establece con el priority campo obligatorio de la PutAdminAccount operación, un número entero comprendido entre 1 y 10. Los valores de prioridad son únicos, por lo que dos administradores nunca comparten una prioridad y no es necesario establecer un empate. Para obtener más información, consulte la referencia de la API de AWS Network Security Manager.

El resultado combinado de todas las políticas aplicables a un recurso es la configuración efectiva del firewall. AWS Network Security Manager calcula esta configuración, la compara con la configuración real del recurso e informa de cualquier diferencia en el estado de sincronización.

Cuando las políticas entran en conflicto, AWS Network Security Manager compara cada atributo y aplica el valor de la política de mayor prioridad. Si la política de mayor prioridad no define un atributo, se aplica el valor de la política de menor prioridad. Un recurso que coincide con la configuración efectiva es IN_SYNC. Un recurso protegido por una política de menor prioridad cuya configuración fue anulada por una política de mayor prioridad se presenta como OUT_OF_SYNC para la implementación de menor prioridad. Se trata de un comportamiento esperado, no de un error.

Descubrimiento de recursos con AWS Config

AWS Network Security Manager descubre los recursos protegidos en sus cuentas mediante un grabador de configuración AWS Config vinculado a un servicio. Esta grabadora se crea automáticamente en cada cuenta cuando esa cuenta entra en el ámbito de una implementación. A diferencia del AWS Firewall Manager, no es necesario realizar ninguna configuración adicional. AWS El uso de Config por parte de AWS Network Security Manager no se cobra al cliente de AWS Network Security Manager.

Características principales de la grabadora vinculada a un servicio:

No necesita habilitar ni configurar AWS Config manualmente para que AWS Network Security Manager funcione. El servicio gestiona la detección de recursos automáticamente después de publicar una implementación.

Sincronización y corrección

La aplicación en AWS Network Security Manager es asincrónica y, en última instancia, coherente. Después de publicar una implementación, o cuando un recurso cambia, se producen las siguientes etapas:

Cada etapa es asíncrona. Consecuencias para su flujo de trabajo:

La corrección y la limpieza de recursos son configuraciones a nivel de políticas. Cada una de ellas se configura por política del objeto. policyConfiguration

Los resourcesCleanUp valores remediationEnabled y son los valores predeterminados. false AWS Network Security Manager no corrige ni limpia los recursos hasta que habilite esta configuración. El policyConfiguration objeto también es válidowafConfig, lo que se aplica a las políticas de AWS WAF. Para obtener más información, consulte la referencia de la API de AWS Network Security Manager.

Cuando un recurso no está sincronizado, el estado de sincronización incluye los motivos de desincronización con detalles por configuración que muestran los valores esperados en comparación con los valores reales. Los motivos se organizan en las siguientes categorías:

Si la corrección está habilitada pero AWS Network Security Manager no puede reparar un recurso, el remediationIssues campo proporciona una issueType message descripción del problema y una correctiveAction sugerencia de cómo resolverlo.

AWS Network Security Manager no evalúa la configuración que no administra. Si un campo no aparece en ninguna regla contributiva, AWS Network Security Manager lo ignora durante la evaluación de la sincronización.

Cuentas de administrador y de miembro

AWS Network Security Manager utiliza un modelo de administración multicuenta basado en AWS Organizations:

Si lo desea, puede asignar a cada administrador un subconjunto de cuentas, unidades organizativas y tipos de firewall. Utilice esta capacidad para delegar la administración de áreas específicas a diferentes equipos.

AWS Network Security Manager es un servicio regional. Los recursos y las implementaciones se crean por región sin dependencias entre regiones.

Service-linked rol

AWS Network Security Manager utiliza un rol vinculado al servicio de IAM denominado AWSServiceRoleForNetworkSecurityManager para actuar en las cuentas de los miembros de su organización en su nombre. Este rol confía en el director del servicionetwork-security-manager.amazonaws.com. Utiliza la política NetworkSecurityManagerServiceRolePolicy AWS gestionada.

AWS Network Security Manager crea esta función automáticamente al habilitar el servicio, por lo que no se realiza una configuración manual. Esta función permite a AWS Network Security Manager gestionar las protecciones AWS WAF y AWS Shield Advanced, descubrir los recursos protegidos mediante AWS Config y realizar operaciones entre cuentas. Para obtener más información, consulte Uso de funciones vinculadas a servicios para AWS Administrador de seguridad de red.