Bloquee el acceso público a Amazon RDS mediante Cloud Custodian

Creado por abhay kumar (AWS) y Dwarika Patra () AWS

Resumen

Muchas organizaciones ejecutan sus cargas de trabajo y servicios en múltiples proveedores de nube. En estos entornos de nube híbrida, la infraestructura de nube necesita un gobierno estricto, además de la seguridad proporcionada por los proveedores de nube individuales. Una base de datos en la nube como Amazon Relational Database Service (RDSAmazon) es un servicio importante que debe supervisarse para detectar cualquier vulnerabilidad de acceso y permiso. Si bien puede restringir el acceso a la RDS base de datos de Amazon configurando un grupo de seguridad, puede añadir una segunda capa de protección para prohibir acciones como el acceso público. Garantizar que el acceso público esté bloqueado le ayudará a cumplir con el Reglamento General de Protección de Datos (GDPR), la Ley de Portabilidad y Responsabilidad de los Seguros de Salud (HIPAA), el Instituto Nacional de Estándares y Tecnología (NIST) y el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCIDSS).

Cloud Custodian es un motor de reglas de código abierto que puedes utilizar para hacer cumplir las restricciones de acceso a los recursos de Amazon Web Services (AWS), como Amazon. RDS Cloud Custodian le permite establecer reglas que validen el entorno según los estándares de seguridad y conformidad definidos. Puede usar Cloud Custodian para administrar sus entornos de nube y así garantizar el cumplimiento de las políticas de seguridad, las políticas de etiquetado, la recopilación de elementos no utilizados y la administración de costos. Con Cloud Custodian puede usar una única interfaz para implementar la gobernanza en su entorno de nube híbrida. Por ejemplo, puede usar la interfaz Cloud Custodian para interactuar con Microsoft Azure AWS y reducir así el esfuerzo de trabajar con mecanismos como AWS Config, grupos de AWS seguridad y políticas de Azure.

Este patrón proporciona instrucciones para usar Cloud Custodian AWS para imponer la restricción de la accesibilidad pública en las RDS instancias de Amazon.

Requisitos previos y limitaciones

Requisitos previos 

Arquitectura

Pila de tecnología de destino

Arquitectura de destino

En el siguiente diagrama, se muestra a Cloud Custodian implementando la política en Lambda AWS CloudTrail , iniciando CreateDBInstance el evento y PubliclyAccessible configurando la función Lambda en false en Amazon. RDS

Herramientas

AWSservicios

Otras herramientas

Epics

$>aws configure
AWS Access Key ID [None]: <your_access_key_id>
AWS Secret Access Key [None]: <your_secret_access_key>
Default region name [None]:
Default output format [None]:

aws iam create-role --role-name lambda-ex --assume-role-policy-document '{"Version": "2012-10-17","Statement": [{ "Effect": "Allow", "Principal": {"Service": "lambda.amazonaws.com"}, "Action": "sts:AssumeRole"}]}

custodian schema aws.rds

custodian run -dryrun <policy_name>.yaml -s <output_directory>

custodian run -s policy.yaml

Recursos relacionados

Información adicional

Archivo de políticas YAML de Cloud Custodian

policies:
  - name: "block-public-access"
    resource: rds
    description: |
      This Enforcement blocks public access for RDS instances.
    mode:
      type: cloudtrail
      events:
        - event: CreateDBInstance # Create RDS instance cloudtrail event
          source: rds.amazonaws.com
          ids: requestParameters.dBInstanceIdentifier
      role: arn:aws:iam::1234567890:role/Custodian-compliance-role
    filters:
      - type: event
        key: 'detail.requestParameters.publiclyAccessible'
        value: true
    actions:
      - type: set-public-access
        state: false

Archivo rds.py de recursos de c7n

@actions.register('set-public-access')
 class RDSSetPublicAvailability(BaseAction):
 
     schema = type_schema(
         "set-public-access",
         state={'type': 'boolean'})
     permissions = ('rds:ModifyDBInstance',)
 
     def set_accessibility(self, r):
         client = local_session(self.manager.session_factory).client('rds')
         waiter = client.get_waiter('db_instance_available')
         waiter.wait(DBInstanceIdentifier=r['DBInstanceIdentifier'])
         client.modify_db_instance(
             DBInstanceIdentifier=r['DBInstanceIdentifier'],
             PubliclyAccessible=self.data.get('state', False))
 
 
     def process(self, rds):
         with self.executor_factory(max_workers=2) as w:
             futures = {w.submit(self.set_accessibility, r): r for r in rds}
             for f in as_completed(futures):
                 if f.exception():
                     self.log.error(
                         "Exception setting public access on %s  \n %s",
                         futures[f]['DBInstanceIdentifier'], f.exception())
         return rds

Integración de Security Hub

Cloud Custodian se puede integrar con AWSSecurity Hub para enviar las conclusiones de seguridad e intentar tomar medidas correctivas. Para obtener más información, consulte Anuncio de la integración de Cloud Custodian con AWS Security Hub.