View a markdown version of this page

Implemente su primera protección de seguridad de red - AWS Gerente de seguridad de red
Requisitos previosPaso 1: Crear una reglaPaso 2: Crear una plantillaPaso 3: Crear una políticaPaso 4: Crear un ámbitoPaso 5: Crear y publicar una implementaciónPaso 6: Supervisar el estado de sincronizaciónPaso 7: limpiarSiguientes pasos

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Implemente su primera protección de seguridad de red

En este tutorial, se explica cómo implementar una ACL web de AWS WAF mediante la consola de AWS Network Security Manager. Debe completar los siguientes pasos:

  1. Creación de una regla

  2. Crear una plantilla

  3. Crear una política.

  4. Creación de un ámbito

  5. Crear y publicar una implementación

  6. Supervise el estado de sincronización

En este tutorial, creará una ACL web de AWS WAF que proteja los balanceadores de carga de aplicaciones en las cuentas seleccionadas. Este proceso es prácticamente idéntico para todos los servicios de seguridad y firewalls compatibles con AWS Network Security Manager.

Tiempo de finalización: aproximadamente 10 minutos

Costo: este tutorial utiliza AWS servicios que pueden implicar cargos. Para conocer los precios actuales, consulte los precios de AWS Network Security Manager en el AWS sitio web.

Requisitos previos

Antes de empezar, compruebe que cumple los siguientes requisitos:

  • Se han completado los pasos de configuración tal y como se describe enConfiguración AWS Gerente de seguridad de red.

  • Una AWS identidad de Identity and Access Management (IAM) con permisos de AWS Network Security Manager.

  • Una organización de AWS Organizations con todas las funciones habilitadas y una cuenta de administrador de AWS Network Security Manager designada (necesaria para las implementaciones de varias cuentas).

  • Acceso a la consola de AWS Network Security Manager.

Paso 1: Crear una regla

Una regla es el elemento fundamental de la configuración de seguridad. En este paso, se crean dos reglas de AWS WAF: una que establece la acción predeterminada y otra que establece la configuración de visibilidad. Acción predeterminada y VisibilityConfig son campos obligatorios para una ACL web de AWS WAF.

Para crear la regla de acción predeterminada, siga estos pasos:

  1. Abra la consola de AWS Network Security Manager en https://console.aws.amazon.com/network-security-manager/.

  2. En el panel de navegación, elija Overview (Información general).

  3. En la página de información general, elija Crear regla.

  4. En Nombre de regla, introduzca un nombre descriptivo, comomy-default-action-rule.

  5. En la sección Definición de reglas, en Tipo de firewall, elija AWS WAF.

  6. En Seleccione el tipo de regla, elija Configuración.

  7. Elige Insertar tipos de configuración y, a continuación, selecciona Acción predeterminada. Aparece un editor de JSON con una configuración predeterminada.

  8. En el editor JSON, elimina la Block sección y conserva solo la Allow sección.

  9. Seleccione Creación de regla.

Para crear la VisibilityConfig regla, sigue estos pasos:

  1. En el panel de navegación, elija Overview (Información general).

  2. En la página de descripción general, selecciona Crear regla.

  3. En Nombre de regla, introduzca un nombre descriptivo, comomy-visibility-config-rule.

  4. En la sección Definición de reglas, en Tipo de firewall, elija AWS WAF.

  5. En Seleccione el tipo de regla, elija Configuración.

  6. Elija Insertar tipos de configuración y, a continuación, seleccione VisibilityConfig. Aparece un editor de JSON con una configuración predeterminada.

  7. Seleccione Creación de regla.

AWS Alternativa CLI

También puede crear reglas con la AWS CLI:

aws network-security-manager create-rule \
    --rule-name "my-default-action-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"DefaultAction": {"Allow": {}}}' \
    --is-published true

aws network-security-manager create-rule \
    --rule-name "my-visibility-config-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"VisibilityConfig": {"SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "my-web-acl-metric"}}' \
    --is-published true

Paso 2: Crear una plantilla

Una plantilla agrupa una o más reglas para su reutilización en todas las políticas. En este paso, creará una plantilla que incluya la regla del paso 1:

  1. En el panel de navegación, elija Overview (Información general).

  2. En la página de descripción general, selecciona Crear plantilla.

  3. En Nombre de plantilla, introduzca un nombre descriptivo, comomy-waf-template.

  4. Para el tipo de firewall, elija AWS WAF.

  5. En la sección Reglas, elija Agregar regla y seleccione las reglas que creó en el paso 1.

  6. Seleccione Crear plantilla.

AWS Alternativa CLI

También puede crear una plantilla con la AWS CLI:

aws network-security-manager create-template \
    --template-name "my-waf-template" \
    --firewall-type WAF \
    --associated-rule-list '[{"ruleIdentifier": "rule-arn-from-step-1"}]' \
    --is-published true

Paso 3: Crear una política

Una política combina plantillas con configuraciones de aplicación. En este paso, crea una política que haga referencia a su plantilla y permita la corrección automática:

  1. En el panel de navegación, elija Overview (Información general).

  2. En la página de descripción general, elija Crear política.

  3. En Nombre de la política, introduzca un nombre descriptivo, como my-waf-policy.

  4. Para el tipo de firewall, selecciona AWS WAF.

  5. En la sección Prioridad de la política, se muestran las políticas existentes y sus prioridades. Revise la prioridad de la nueva política. Si necesita ajustarlo, elija el campo de prioridad y cambie el valor por un número de prioridad no utilizado. 1

  6. En la sección Plantillas y reglas, elige Añadir plantilla y selecciona la plantilla que creaste en el paso 2.

  7. Para la corrección, seleccione Activado.

  8. Para la resolución de ACL web para clientes existentes, elija Sin corrección.

  9. Elija Crear política.

AWS Alternativa CLI

También puede crear una política con la AWS CLI:

aws network-security-manager create-policy \
    --policy-name "my-waf-policy" \
    --firewall-type WAF \
    --priority 1 \
    --associated-template-and-rule-list '[{"templateIdentifier": "template-arn-from-step-2"}]' \
    --policy-configuration '{"remediationEnabled": true, "resourcesCleanUp": false, "wafConfig": {"existingCustomerWebACLResolution": "NO_REMEDIATION"}}' \
    --is-published true

Paso 4: Crear un ámbito

Un ámbito define dónde se aplican sus protecciones. En este paso, debe crear un ámbito dirigido a los balanceadores de carga de aplicaciones de sus cuentas:

  1. En el panel de navegación, elija Overview (Información general).

  2. En la página de descripción general, elija Crear ámbito.

  3. En Nombre del ámbito, introduzca un nombre descriptivo, comomy-alb-scope.

  4. (Opcional) En la sección de selección de cuentas y unidades organizativas, en Seleccione el método de control del ámbito administrativo, seleccione Alcanzar a toda AWS la organización (todas las unidades organizativas y cuentas). Omita este paso para las implementaciones de una sola cuenta.

  5. En la sección Recursos, para Tipos de recursos, seleccione Application Load Balancer.

  6. Elija Create scope (Crear alcance).

AWS Alternativa CLI

También puede crear un ámbito con la AWS CLI:

aws network-security-manager create-scope \
    --scope-name "my-alb-scope" \
    --scope-configuration '{
        "accountFilter": {"includeAll": {}},
        "resourceScopes": {
            "AWS::ElasticLoadBalancingV2::LoadBalancer::application": {
                "includeAll": true
            }
        }
    }' \
    --is-published true

Paso 5: Crear y publicar una implementación

Una implementación vincula las políticas a un ámbito y activa su aplicación. Para crear y publicar una implementación:

  1. En el panel de navegación, elija Overview (Información general).

  2. En la página de información general, elija Crear despliegue.

  3. En Nombre de implementación, introduzca un nombre descriptivo, comomy-first-deployment.

  4. En la sección Políticas, elija Agregar política y seleccione la política que creó en el paso 3.

  5. En la sección Ámbitos, elija Añadir ámbito y seleccione el ámbito que creó en el paso 4.

  6. Elija Crear implementación.

AWS Network Security Manager comienza a descubrir los recursos y a aplicar las protecciones. Este proceso es asíncrono y puede tardar unos minutos en completarse.

AWS Alternativa CLI

También puede crear y publicar una implementación con la AWS CLI:

aws network-security-manager create-deployment \
    --deployment-name "my-first-deployment" \
    --associated-policy-list '[{"policyIdentifier": "policy-arn-from-step-3"}]' \
    --associated-scope-list '[{"scopeIdentifier": "scope-arn-from-step-4"}]' \
    --deployment-configuration '{"enableCrossAccountVisibility": true}' \
    --is-published true

Paso 6: Supervisar el estado de sincronización

Tras publicar una implementación, AWS Network Security Manager descubre los recursos y sincroniza sus configuraciones. Para supervisar el estado de cada recurso:

  1. En el panel de navegación, elija Overview (Información general).

  2. Elija la pestaña Implementaciones.

  3. Elija la implementación que creó en el paso 5.

  4. Seleccione la pestaña Sincronización.

  5. Revise el estado de sincronización de cada recurso:

    • IN_SYNC: la configuración del recurso coincide con la configuración de protección prevista.

    • OUT_OF_SYNC — La configuración del recurso no coincide. AWS Network Security Manager corrige esta situación automáticamente cuando la corrección está habilitada.

    • NOT_APPLICABLE: el recurso está dentro del alcance, pero esta implementación no lo puede evaluar.

AWS Alternativa CLI

También puede comprobar el estado de la sincronización con la AWS CLI:

aws network-security-manager list-resource-synchronization-statuses \
    --deployment-identifier "deployment-arn-from-step-5"

Paso 7: limpiar

Si ya no necesitas los recursos que creaste, elimínalos en orden inverso para detener la aplicación y eliminar las protecciones de los recursos incluidos en el ámbito de aplicación:

El orden inverso es importante porque estos recursos se refieren entre sí. Para ver qué está asociado a un recurso antes de eliminarlo, llame ListResourceAssociations con el ARN de ese recurso. Devuelve el ARN y el tipo de recurso de cada recurso asociado. Para obtener más información, consulte la referencia de la API de AWS Network Security Manager.

  1. En el panel de navegación, elija Overview (Información general). Elija la pestaña Implementaciones. Seleccione su implementación, elija Acción y, a continuación, elija Eliminar.

  2. Seleccione la pestaña Ámbitos. Selecciona tu ámbito, selecciona Acción y, a continuación, selecciona Eliminar.

  3. Elija la pestaña Policies. Seleccione su política, elija Acción y, a continuación, elija Eliminar.

  4. Elija la pestaña Plantillas. Selecciona tu plantilla, selecciona Acción y, a continuación, selecciona Eliminar.

  5. Elija la pestaña Rules. Selecciona tu regla, selecciona Acción y, a continuación, selecciona Eliminar.

AWS Alternativa CLI

Antes de eliminar un recurso, compruebe sus asociaciones para planificar el orden de eliminación:

aws network-security-manager list-resource-associations \
    --resource-arn "resource-arn"

Si un recurso aún tiene asociaciones, quite o elimine primero los recursos asociados.

Puede eliminar los recursos con la AWS CLI en orden inverso:

aws network-security-manager delete-deployment \
    --deployment-identifier "deployment-arn"

aws network-security-manager delete-scope \
    --scope-identifier "scope-arn"

aws network-security-manager delete-policy \
    --policy-identifier "policy-arn"

aws network-security-manager delete-template \
    --template-identifier "template-arn"

aws network-security-manager delete-rule \
    --rule-identifier "rule-arn"

Siguientes pasos

Ahora que tiene una implementación en funcionamiento, explore las siguientes formas de ampliar la protección de seguridad de su red: