Blocca l'accesso pubblico ad Amazon RDS utilizzando Cloud Custodian

Creato da abhay kumar (AWS) e Dwarika Patra (AWS)

Riepilogo

Molte organizzazioni gestiscono i propri carichi di lavoro e servizi su più fornitori di cloud. In questi ambienti cloud ibridi, l'infrastruttura cloud richiede una rigida governance del cloud, oltre alla sicurezza fornita dai singoli provider di cloud. Un database cloud come Amazon Relational Database Service (Amazon RDS) è un servizio importante che deve essere monitorato per eventuali vulnerabilità di accesso e autorizzazione. Sebbene sia possibile limitare l'accesso al database Amazon RDS configurando un gruppo di sicurezza, è possibile aggiungere un secondo livello di protezione per vietare azioni come l'accesso pubblico. Garantire che l'accesso pubblico sia bloccato ti aiuterà a rispettare il Regolamento generale sulla protezione dei dati (GDPR), l'Health Insurance Portability and Accountability Act (HIPAA), il National Institute of Standards and Technology (NIST) e il Payment Card Industry Data Security Standard (PCI DSS).

Cloud Custodian è un motore di regole open source che puoi utilizzare per imporre restrizioni di accesso alle risorse di Amazon Web Services (AWS) come Amazon RDS. Con Cloud Custodian, puoi impostare regole che convalidano l'ambiente rispetto a standard di sicurezza e conformità definiti. Puoi utilizzare Cloud Custodian per gestire i tuoi ambienti cloud contribuendo a garantire la conformità con le politiche di sicurezza, le politiche di tag e la raccolta dei rifiuti di risorse inutilizzate e la gestione dei costi. Con Cloud Custodian, puoi utilizzare un'unica interfaccia per implementare la governance in un ambiente cloud ibrido. Ad esempio, puoi utilizzare l'interfaccia Cloud Custodian per interagire con AWS e Microsoft Azure, riducendo lo sforzo di lavorare con meccanismi come AWS Config, gruppi di sicurezza AWS e policy di Azure.

Questo modello fornisce istruzioni per utilizzare Cloud Custodian su AWS per imporre la restrizione dell'accessibilità pubblica sulle istanze Amazon RDS.

Prerequisiti e limitazioni

Prerequisiti

Architettura

Stack tecnologico Target

Architettura Target

Il diagramma seguente mostra Cloud Custodian che distribuisce la policy su Lambda, CloudTrail AWS che avvia l'CreateDBInstanceevento e l'impostazione della funzione Lambda su false su Amazon RDS. PubliclyAccessible

Strumenti

Servizi AWS

Altri strumenti

Epiche

$>aws configure
AWS Access Key ID [None]: <your_access_key_id>
AWS Secret Access Key [None]: <your_secret_access_key>
Default region name [None]:
Default output format [None]:

aws iam create-role --role-name lambda-ex --assume-role-policy-document '{"Version": "2012-10-17","Statement": [{ "Effect": "Allow", "Principal": {"Service": "lambda.amazonaws.com"}, "Action": "sts:AssumeRole"}]}

$>aws configure
AWS Access Key ID [None]: <your_access_key_id>
AWS Secret Access Key [None]: <your_secret_access_key>
Default region name [None]:
Default output format [None]:

aws iam create-role --role-name lambda-ex --assume-role-policy-document '{"Version": "2012-10-17","Statement": [{ "Effect": "Allow", "Principal": {"Service": "lambda.amazonaws.com"}, "Action": "sts:AssumeRole"}]}

custodian schema aws.rds

custodian run -dryrun <policy_name>.yaml -s <output_directory>

custodian schema aws.rds

custodian run -dryrun <policy_name>.yaml -s <output_directory>

custodian run -s policy.yaml

custodian run -s policy.yaml

Risorse correlate

Informazioni aggiuntive

File YAML della politica di Cloud Custodian

policies:
  - name: "block-public-access"
    resource: rds
    description: |
      This Enforcement blocks public access for RDS instances.
    mode:
      type: cloudtrail
      events:
        - event: CreateDBInstance # Create RDS instance cloudtrail event
          source: rds.amazonaws.com
          ids: requestParameters.dBInstanceIdentifier
      role: arn:aws:iam::1234567890:role/Custodian-compliance-role
    filters:
      - type: event
        key: 'detail.requestParameters.publiclyAccessible'
        value: true
    actions:
      - type: set-public-access
        state: false

file rds.py di risorse c7n

@actions.register('set-public-access')
 class RDSSetPublicAvailability(BaseAction):
 
     schema = type_schema(
         "set-public-access",
         state={'type': 'boolean'})
     permissions = ('rds:ModifyDBInstance',)
 
     def set_accessibility(self, r):
         client = local_session(self.manager.session_factory).client('rds')
         waiter = client.get_waiter('db_instance_available')
         waiter.wait(DBInstanceIdentifier=r['DBInstanceIdentifier'])
         client.modify_db_instance(
             DBInstanceIdentifier=r['DBInstanceIdentifier'],
             PubliclyAccessible=self.data.get('state', False))
 
 
     def process(self, rds):
         with self.executor_factory(max_workers=2) as w:
             futures = {w.submit(self.set_accessibility, r): r for r in rds}
             for f in as_completed(futures):
                 if f.exception():
                     self.log.error(
                         "Exception setting public access on %s  \n %s",
                         futures[f]['DBInstanceIdentifier'], f.exception())
         return rds

Integrazione con Security Hub

Cloud Custodian può essere integrato con AWS Security Hub per inviare risultati di sicurezza e tentare azioni correttive. Per ulteriori informazioni, consulta Annuncio dell'integrazione di Cloud Custodian con AWS Security Hub.