AWS Network Firewall에서 Slack 채널로 알림 전송

작성자: Venki Srivatsav(AWS) 및 Aromal Raj Jayarajan(AWS)

요약

이 패턴은 분산 배포 모델과 함께 Amazon Web Services(AWS) Network Firewall을 사용하여 방화벽을 배포하는 방법과 AWS Network Firewall에서 생성된 알림을 구성 가능한 Slack 채널에 전파하는 방법을 설명합니다. 

Payment Card Industry Data Security Standard(PCI DSS)와 같은 규정 준수 표준을 사용하려면 고객 데이터를 보호하기 위해 방화벽을 설치하고 유지 관리해야 합니다. AWS 클라우드에서 가상 프라이빗 클라우드(VPC)는 이러한 규정 준수 요구 사항의 맥락에서 물리적 네트워크와 동일한 것으로 간주됩니다. Network Firewall을 사용하여 VPCs와 간의 네트워크 트래픽을 모니터링하여 규정 준수 표준이 VPCs 적용되는에서 실행되는 워크로드를 보호할 수 있습니다. Network Firewall은 동일한 계정VPCs의 다른에서 무단 액세스를 감지하면 액세스를 차단하거나 알림을 생성합니다. 하지만 Network Firewall은 알림을 전달하는 대상 수를 제한적으로 지원합니다. 이러한 대상에는 Amazon Simple Storage Service(Amazon S3) 버킷, Amazon CloudWatch 로그 그룹 및 Amazon Data Firehose 전송 스트림이 포함됩니다. 이러한 알림에 대한 추가 조치를 취하려면 Amazon Athena 또는 Amazon Kinesis를 사용한 오프라인 분석이 필요합니다. 

이 패턴은 Network Firewall에서 생성된 알림을 구성 가능한 Slack 채널로 전파하여 추가 조치를 거의 실시간으로 수행하는 방법을 제공합니다. 기능을 PagerDutyJira 및 이메일과 같은 다른 알림 메커니즘으로 확장할 수도 있습니다. (이러한 사용자 지정은 이 패턴의 범위를 벗어납니다.) 

사전 조건 및 제한 사항

사전 조건 

제한 사항

아키텍처

대상 기술 스택

Slack 채널을 제외한 모든 구성 요소는이 패턴과 함께 제공되는 CloudFormation 템플릿 및 Lambda 함수에 의해 프로비저닝됩니다(코드 섹션 참조).

대상 아키텍처 

이 패턴은 Slack 통합이 포함된 분산형 네트워크 방화벽을 설정합니다. 이 아키텍처는 두 개의 가용 영역이 VPC 있는 로 구성됩니다. 에는 네트워크 방화벽 엔드포인트가 있는 두 개의 보호된 서브넷과 두 개의 방화벽 서브넷이 VPC 포함되어 있습니다. 방화벽 정책 및 규칙을 생성하여 보호된 서브넷으로 들어오고 나가는 모든 트래픽을 모니터링할 수 있습니다. 네트워크 방화벽은 S3 버킷에서 모든 알림을 배치하도록 구성되어 있습니다. 이 S3 버킷은 put 이벤트를 수신할 때 Lambda 함수를 직접적으로 호출하도록 구성되어 있습니다. Lambda 함수는 Secrets ManagerURL에서 구성된 Slack을 가져오고 알림 메시지를 Slack 워크스페이스로 전송합니다.

이 아키텍처에 대한 자세한 내용은 AWS 블로그 게시물AWS네트워크 방화벽용 배포 모델을 참조하세요.

도구

AWS 서비스

code

이 패턴의 코드는 Network Firewall Slack Integration 리포지토리의 GitHub에서 사용할 수 있습니다. 리포지토리 src  폴더에는 다음을 볼 수 있습니다.

이러한 파일을 사용하려면 다음 섹션의 지침을 따르세요.

에픽

#!/bin/bash
yum install httpd -y
systemctl start httpd
systemctl stop firewalld
cd /var/www/html
echo "Hello!! this is a NFW alert test page, 200 OK" > index.html

Source: 0.0.0.0/0
Destination 10.0.3.65/32 (private IP of the EC2 instance)
Action: Forward 

Protocol: HTTP
Source ip/port: Any / Any
Destination ip/port: Any /Any

Hello!! this is a NFW alert test page, 200 OK 

관련 리소스

추가 정보

CloudFormation 파라미터

필터 동작

AWS Lambda에서 필터를 구성하지 않은 경우 생성된 모든 알림이 Slack 채널로 전송됩니다. 생성된 알림IPs의 소스와 대상은 CloudFormation 템플릿을 배포할 때 구성한 CIDR 범위와 일치합니다. 이때 일치하는 부분이 발견되면 조건이 적용됩니다. 소스 또는 대상이 구성된 CIDR 범위 내에 있고 하나 이상의 소스 또는 대상 중 하나가 조건 로 구성된 경우 include알림이 생성됩니다. 다음 표에서는 CIDR 값, 조건 및 결과의 예를 제공합니다.