Utilisez Network Firewall pour capturer les noms de domaine DNS à partir de l'indication du nom du serveur pour le trafic sortant

Créez un groupe de CloudWatch journaux.

Pour plus d'informations, consultez la section Utilisation des groupes de journaux et des flux de journaux dans la CloudWatch documentation.

Créez une rubrique SNS.

Pour créer une rubrique SNS, suivez les instructions de la documentation Amazon SNS.

Abonnez un point de terminaison à la rubrique SNS.

Pour abonner une adresse e-mail en tant que point de terminaison à la rubrique SNS que vous avez créée, suivez les instructions de la documentation Amazon SNS. Pour Protocole, choisissez Email/Email-JSON.

Activez la journalisation du pare-feu.

Pour plus d'informations sur l'utilisation CloudWatch des journaux comme destination des journaux pour Network Firewall, consultez Amazon CloudWatch Logs dans la documentation de Network Firewall. 

Créez une règle dynamique.

Associez la règle dynamique à Network Firewall.

Créez le code de la fonction Lambda.

Dans un environnement de développement intégré (IDE) capable de lire l'événement CloudWatch Logs de Network Firewall pour le trafic sortant, collez le code Python 3 suivant et remplacez-le <SNS-topic-ARN> par votre valeur :

import json
import gzip
import base64
import boto3
sns_client = boto3.client('sns')
def lambda_handler(event, context):
    decoded_event = json.loads(gzip.decompress(base64.b64decode(event['awslogs']['data'])))
    body = '''
    {filtermatch}
    '''.format(
        loggroup=decoded_event['logGroup'],
        logstream=decoded_event['logStream'],
        filtermatch=decoded_event['logEvents'][0]['message'],
    )
    print(body)
    filterMatch = json.loads(body)
    data = []
    if 'http' in filterMatch['event']:
        data.append(filterMatch['event']['http']['hostname'])
    elif 'tls' in filterMatch['event']:
        data.append(filterMatch['event']['tls']['sni'])
    result = 'Domain accessed ' + 1*' ' + (data[0]) + 1*' ' 'via AWS Network Firewall ' + 1*' '  + (filterMatch['firewall_name'])
    print(result)
    message = {'ServerName': result}
    send_to_sns = sns_client.publish(
        TargetArn=<SNS-topic-ARN>,          #Replace with the SNS topic ARN
        Message=json.dumps({'default': json.dumps(message),
                        'sms': json.dumps(message),
                        'email': json.dumps(message)}),
        Subject='Server Name passed through the Network Firewall',
        MessageStructure='json'
    )

Cet exemple de code analyse le contenu CloudWatch des journaux et capture le nom du serveur fourni par le SNI dans l'en-tête HTTPS.

Créez la fonction Lambda.

Pour créer la fonction Lambda, suivez les instructions de la documentation Lambda et choisissez Python 3.9 for Runtime.

Ajoutez le code à la fonction Lambda.

Pour ajouter votre code Python à la fonction Lambda que vous avez créée précédemment, suivez les instructions de la documentation Lambda.

Ajoutez CloudWatch des journaux comme déclencheur à la fonction Lambda.

Pour plus d'informations, consultez la section Utilisation de Lambda avec des CloudWatch journaux dans la documentation Lambda.

Ajoutez des autorisations de publication sur SNS.

Ajoutez l'autorisation SNS:Publish au rôle d'exécution Lambda, afin que Lambda puisse effectuer des appels d'API pour publier des messages sur SNS.  

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowSNSPublish",
            "Effect": "Allow",
            "Action": [
                "sns:GetTopicAttributes",
                "sns:Subscribe",
                "sns:Unsubscribe",
                "sns:Publish"
            ],
            "Resource": "*"
        }
    ]
}

Envoyez du trafic via Network Firewall.

{
    "Type": "Notification",
    "MessageId": "<messageID>",
    "TopicArn": "arn:aws:sns:us-west-2:123456789:testSNSTopic",
    "Subject": "Server Name passed through the Network Firewall",
    "Message": "{\"ServerName\": \"Domain 'aws.amazon.com' accessed via AWS Network Firewall 'AWS-Network-Firewall-Multi-AZ-firewall\"}",
    "Timestamp": "2022-03-22T04:10:04.217Z",
    "SignatureVersion": "1",
    "Signature": "<Signature>",
    "SigningCertURL": "<SigningCertUrl>",
    "UnsubscribeURL": "<UnsubscribeURL>"
}

Consultez ensuite le journal des alertes Network Firewall sur Amazon CloudWatch en suivant les instructions de la CloudWatch documentation Amazon. Le journal des alertes affiche le résultat suivant :

{
    "firewall_name": "AWS-Network-Firewall-Multi-AZ-firewall",
    "availability_zone": "us-east-2b",
    "event_timestamp": "<event timestamp>",
    "event": {
        "timestamp": "2021-03-22T04:10:04.214222+0000",
        "flow_id": <flow ID>,
        "event_type": "alert",
        "src_ip": "10.1.3.76",
        "src_port": 22761,
        "dest_ip": "99.86.59.73",
        "dest_port": 443,
        "proto": "TCP",
        "alert": {
            "action": "allowed",
            "signature_id": 2,
            "rev": 0,
            "signature": "",
            "category": "",
            "severity": 3
        },
        "tls": {
            "subject": "CN=aws.amazon.com",
            "issuerdn": "C=US, O=Amazon, OU=Server CA 1B, CN=Amazon",
            "serial": "<serial number>",
            "fingerprint": "<fingerprint ID>",
            "sni": "aws.amazon.com",
            "version": "TLS 1.2",
            "notbefore": "2020-09-30T00:00:00",
            "notafter": "2021-09-23T12:00:00",
            "ja3": {},
            "ja3s": {}
        },
        "app_proto": "tls"
    }
}