` con il valore che hai registrato nell'epopea precedente. Salva il file con nome `firewall-policy-anfw.json`.{
"StatelessDefaultActions": [
"aws:forward_to_sfe"
],
"StatelessFragmentDefaultActions": [
"aws:forward_to_sfe"
],
"StatefulRuleGroupReferences": [
{
"ResourceArn": ""
}
]
}
Inserisci il seguente comando in. AWS CLI Questo comando richiede un [token di aggiornamento](https://docs.aws.amazon.com/cli/latest/reference/network-firewall/update-firewall-policy.html) per aggiungere le nuove regole. Il token viene utilizzato per confermare che la politica non è cambiata dall'ultima volta che l'hai recuperata.UPDATETOKEN=(`aws network-firewall describe-firewall-policy \
--firewall-policy-name firewall-policy-anfw \
--output text --query UpdateToken`)
aws network-firewall update-firewall-policy \
--update-token $UPDATETOKEN \
--firewall-policy-name firewall-policy-anfw \
--firewall-policy file://firewall-policy-anfw.json
| Amministratore di sistema AWS |
| Conferma gli aggiornamenti delle policy. | (Facoltativo) Se desideri confermare che le regole sono state aggiunte e visualizzare il formato della politica, inserisci il seguente comando in AWS CLI.❯ aws network-firewall describe-firewall-policy \
--firewall-policy-name firewall-policy-anfw \
--query FirewallPolicy
Di seguito è riportato un esempio di output.{
"StatelessDefaultActions": [
"aws:forward_to_sfe"
],
"StatelessFragmentDefaultActions": [
"aws:forward_to_sfe"
],
"StatefulRuleGroupReferences": [
{
"ResourceArn": "arn:aws:network-firewall:us-east-2:1234567890:stateful-rulegroup/custom"
}
]
} | Amministratore di sistema AWS |
### Verifica la funzionalità degli avvisi
| Operazione | Description | Competenze richieste |
| --- | --- | --- |
| Genera avvisi per i test. | 1. Accedi a una workstation di prova all'interno della sottorete del firewall.
2. Immettete i comandi che dovrebbero generare avvisi. Ad esempio, puoi usare `wget` o`curl`.wget -U "badstuff" http://www.amazon.com -o /dev/null
curl -A "morebadstuff" http://www.amazon.com -o /dev/null
| Amministratore di sistema AWS |
| Verifica che gli avvisi siano registrati. | 1. Apri la [CloudWatch console](https://console.aws.amazon.com/cloudwatch/).
2. Passa al gruppo di log e allo stream corretti. Per ulteriori informazioni, consulta [Visualizza i dati di registro inviati ai CloudWatch registri](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/Working-with-log-groups-and-streams.html#ViewingLogData) (documentazione CloudWatch sui registri).
3. Verifica che gli eventi registrati siano simili agli esempi seguenti. Gli esempi mostrano solo la parte rilevante dell'avviso.
**Esempio 1** "alert": {
"action": "allowed",
"signature_id": 3,
"rev": 1,
"signature": "",
"category": "Misc activity",
"severity": 3
}
**Esempio 2** "alert": {
"action": "allowed",
"signature_id": 4,
"rev": 1,
"signature": "",
"category": "Potentially Bad Traffic",
"severity": 2
} | Amministratore di sistema AWS |
### Aggiorna le regole e il gruppo di regole del firewall
| Operazione | Description | Competenze richieste |
| --- | --- | --- |
| Aggiorna le regole del firewall. | 1. In un editor di testo, aprire il file `custom.rules`.
2. Modificate la prima regola in modo che sia simile alla seguente. Questa regola deve essere inserita su una sola riga del file.alert http any any -> any any (msg:"Watch out - Bad Stuff!!"; content:"badstuff"; classtype:misc-activity; priority:2; sid:3; rev:2; metadata:custom-field-2 Danger!, custom-field More Info;)
Ciò apporta le seguenti modifiche alla regola:Aggiunge una stringa [msg](https://suricata.readthedocs.io/en/suricata-6.0.1/rules/meta.html#msg-message) (sito Web Suricata) che fornisce informazioni testuali sulla firma o sull'avviso. Nell'avviso generato, questo corrisponde alla firma. Regola la [priorità](https://suricata.readthedocs.io/en/suricata-6.0.1/rules/meta.html#priority) predefinita (sito Web Suricata) `misc-activity` da 3 a 2. Per i valori predefiniti dei vari`classtypes`, vedere la sezione [Informazioni aggiuntive](#customize-amazon-cloudwatch-alerts-for-aws-network-firewall-additional).Aggiunge [metadati](https://suricata.readthedocs.io/en/suricata-6.0.1/rules/meta.html#metadata) personalizzati (sito Web Suricata) all'avviso. Si tratta di informazioni aggiuntive che vengono aggiunte alla firma. Si consiglia di utilizzare coppie chiave-valore.Cambia la [versione (sito](https://suricata.readthedocs.io/en/suricata-6.0.1/rules/meta.html#rev-revision) web di Suricata) da 1 a 2. Rappresenta la versione della firma. | Amministratore di sistema AWS |
| Aggiorna il gruppo di regole. | In AWS CLI, esegui i seguenti comandi. Usa l'ARN della tua politica firewall. Questi comandi ottengono un token di aggiornamento e aggiornano il gruppo di regole con le modifiche alle regole.❯ UPDATETOKEN=(`aws network-firewall \
describe-rule-group \
--rule-group-arn arn:aws:network-firewall:us-east-2:123457890:stateful-rulegroup/custom \
--output text --query UpdateToken`)
❯ aws network-firewall update-rule-group \
--rule-group-arn arn:aws:network-firewall:us-east-2:1234567890:stateful-rulegroup/custom \
--rules file://custom.rules \
--update-token $UPDATETOKEN
Di seguito è riportato un esempio di output.{
"UpdateToken": "7536939f-6a1d-414c-96d1-bb28110996ed",
"RuleGroupResponse": {
"RuleGroupArn": "arn:aws:network-firewall:us-east-2:1234567890:stateful-rulegroup/custom",
"RuleGroupName": "custom",
"RuleGroupId": "238a8259-9eaf-48bb-90af-5e690cf8c48b",
"Type": "STATEFUL",
"Capacity": 10,
"RuleGroupStatus": "ACTIVE",
"Tags": [
{
"Key": "environment",
"Value": "development"
}
]
}
} | Amministratore di sistema AWS |
### Prova la funzionalità di avviso aggiornata
| Operazione | Description | Competenze richieste |
| --- | --- | --- |
| Genera un avviso per il test. | 1. Accedere a una workstation di prova all'interno della sottorete del firewall.
2. Immettete un comando che dovrebbe generare un avviso. Per esempio, è possibile utilizzare `curl`.curl -A "badstuff" http://www.amazon.com -o /dev/null
| Amministratore di sistema AWS |
| Convalida l'avviso modificato. | 1. Apri la [CloudWatch console](https://console.aws.amazon.com/cloudwatch/).
2. Passa al gruppo di log e allo stream corretti.
3. Conferma che l'evento registrato è simile all'esempio seguente. L'esempio mostra solo la parte rilevante dell'avviso."alert": {
"action": "allowed",
"signature_id": 3,
"rev": 2,
"signature": "Watch out - Bad Stuff!!",
"category": "Misc activity",
"severity": 2,
"metadata": {
"custom-field": [
"More Info"
],
"custom-field-2": [
"Danger!"
]
}
} | Amministratore di sistema AWS |
## Risorse correlate
**Riferimenti**
+ [Invia avvisi da AWS Network Firewall un canale Slack](https://docs.aws.amazon.com/prescriptive-guidance/latest/patterns/send-alerts-from-aws-network-firewall-to-a-slack-channel.html) (AWS Prescriptive Guidance)
+ [Proseguire la prevenzione delle minacce AWS con Suricata (post sul blog](https://aws.amazon.com/blogs/opensource/scaling-threat-prevention-on-aws-with-suricata/))AWS
+ [Modelli di implementazione per AWS Network Firewall](https://aws.amazon.com/blogs/networking-and-content-delivery/deployment-models-for-aws-network-firewall/) (AWS post sul blog)
+ [Suricata meta keyworks (documentazione](https://suricata.readthedocs.io/en/suricata-6.0.1/rules/meta.html) Suricata)
**Tutorial e video**
+ [AWS Network Firewall officina](https://networkfirewall.workshop.aws/)
## Informazioni aggiuntive
Di seguito è riportato il file di configurazione della classificazione di Suricata 5.0.2. Queste classificazioni vengono utilizzate durante la creazione delle regole del firewall.
```
# config classification:shortname,short description,priority
config classification: not-suspicious,Not Suspicious Traffic,3
config classification: unknown,Unknown Traffic,3
config classification: bad-unknown,Potentially Bad Traffic, 2
config classification: attempted-recon,Attempted Information Leak,2
config classification: successful-recon-limited,Information Leak,2
config classification: successful-recon-largescale,Large Scale Information Leak,2
config classification: attempted-dos,Attempted Denial of Service,2
config classification: successful-dos,Denial of Service,2
config classification: attempted-user,Attempted User Privilege Gain,1
config classification: unsuccessful-user,Unsuccessful User Privilege Gain,1
config classification: successful-user,Successful User Privilege Gain,1
config classification: attempted-admin,Attempted Administrator Privilege Gain,1
config classification: successful-admin,Successful Administrator Privilege Gain,1
# NEW CLASSIFICATIONS
config classification: rpc-portmap-decode,Decode of an RPC Query,2
config classification: shellcode-detect,Executable code was detected,1
config classification: string-detect,A suspicious string was detected,3
config classification: suspicious-filename-detect,A suspicious filename was detected,2
config classification: suspicious-login,An attempted login using a suspicious username was detected,2
config classification: system-call-detect,A system call was detected,2
config classification: tcp-connection,A TCP connection was detected,4
config classification: trojan-activity,A Network Trojan was detected, 1
config classification: unusual-client-port-connection,A client was using an unusual port,2
config classification: network-scan,Detection of a Network Scan,3
config classification: denial-of-service,Detection of a Denial of Service Attack,2
config classification: non-standard-protocol,Detection of a non-standard protocol or event,2
config classification: protocol-command-decode,Generic Protocol Command Decode,3
config classification: web-application-activity,access to a potentially vulnerable web application,2
config classification: web-application-attack,Web Application Attack,1
config classification: misc-activity,Misc activity,3
config classification: misc-attack,Misc Attack,2
config classification: icmp-event,Generic ICMP event,3
config classification: inappropriate-content,Inappropriate Content was Detected,1
config classification: policy-violation,Potential Corporate Privacy Violation,1
config classification: default-login-attempt,Attempt to login by a default username and password,2
# Update
config classification: targeted-activity,Targeted Malicious Activity was Detected,1
config classification: exploit-kit,Exploit Kit Activity Detected,1
config classification: external-ip-check,Device Retrieving External IP Address Detected,2
config classification: domain-c2,Domain Observed Used for C2 Detected,1
config classification: pup-activity,Possibly Unwanted Program Detected,2
config classification: credential-theft,Successful Credential Theft Detected,1
config classification: social-engineering,Possible Social Engineering Attempted,2
config classification: coin-mining,Crypto Currency Mining Activity Detected,2
config classification: command-and-control,Malware Command and Control Activity Detected,1
```