View a markdown version of this page

Implemente sua primeira proteção de segurança de rede - AWS Gerente de segurança de rede
Pré-requisitosEtapa 1: criar uma regraEtapa 2: criar um modeloEtapa 3: criar uma políticaEtapa 4: criar um escopoEtapa 5: criar e publicar uma implantaçãoEtapa 6: Monitorar o status da sincronizaçãoEtapa 7: limparPróximas etapas

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Implemente sua primeira proteção de segurança de rede

Este tutorial explica como implantar uma Web ACL do AWS WAF usando o console do AWS Network Security Manager. Você conclui as seguintes etapas:

  1. Criar uma regra

  2. Criar um modelo

  3. Criar uma política

  4. Criar um escopo

  5. Crie e publique uma implantação

  6. Monitore o status da sincronização

Neste tutorial, você cria uma AWS WAF web ACL que protege os Application Load Balancers nas contas selecionadas. Esse processo é praticamente idêntico para todos os serviços de segurança e firewalls suportados pelo AWS Network Security Manager.

Tempo para concluir: aproximadamente 10 minutos

Custo: este tutorial usa AWS serviços que podem incorrer em cobranças. Para obter os preços atuais, consulte os preços do AWS Network Security Manager no AWS site.

Pré-requisitos

Antes de começar, verifique se você atende aos seguintes requisitos:

  • Etapas de configuração concluídas conforme descrito emConfigurar AWS Gerente de segurança de rede.

  • Uma AWS identidade do Identity and Access Management (IAM) AWS com permissões do Network Security Manager.

  • Uma organização da AWS Organizations com todos os recursos habilitados e uma conta de administrador designada do AWS Network Security Manager (necessária para implantações com várias contas).

  • Acesso ao console do AWS Network Security Manager.

Etapa 1: criar uma regra

Uma regra é o alicerce da sua configuração de segurança. Nesta etapa, você cria duas regras do AWS WAF: uma que define a ação padrão e outra que define a configuração de visibilidade. Ação padrão e VisibilityConfig são campos obrigatórios para uma Web ACL AWS do WAF.

Para criar a regra de ação padrão, siga estas etapas:

  1. Abra o console do AWS Network Security Manager em https://console.aws.amazon.com/network-security-manager/.

  2. No painel de navegação, selecione Visão geral.

  3. Na página Visão geral, escolha Criar regra.

  4. Em Nome da regra, insira um nome descritivo, comomy-default-action-rule.

  5. Na seção Definição de regra, em Tipo de firewall, escolha AWS WAF.

  6. Em Selecionar tipo de regra, escolha Configuração.

  7. Escolha Inserir tipos de configuração e, em seguida, selecione Ação padrão. Um editor JSON aparece com uma configuração padrão.

  8. No editor JSON, remova a Block seção e mantenha somente a Allow seção.

  9. Escolha Criar regra.

Para criar a VisibilityConfig regra, siga estas etapas:

  1. No painel de navegação, selecione Visão geral.

  2. Na página Visão geral, escolha Criar regra.

  3. Em Nome da regra, insira um nome descritivo, comomy-visibility-config-rule.

  4. Na seção Definição de regra, em Tipo de firewall, escolha AWS WAF.

  5. Em Selecionar tipo de regra, escolha Configuração.

  6. Escolha Inserir tipos de configuração e, em seguida, selecione VisibilityConfig. Um editor JSON aparece com uma configuração padrão.

  7. Escolha Criar regra.

AWS Alternativa de CLI

Você também pode criar regras com a AWS CLI:

aws network-security-manager create-rule \
    --rule-name "my-default-action-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"DefaultAction": {"Allow": {}}}' \
    --is-published true

aws network-security-manager create-rule \
    --rule-name "my-visibility-config-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"VisibilityConfig": {"SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "my-web-acl-metric"}}' \
    --is-published true

Etapa 2: criar um modelo

Um modelo agrupa uma ou mais regras para reutilização em todas as políticas. Nesta etapa, você cria um modelo que inclui a regra da Etapa 1:

  1. No painel de navegação, selecione Visão geral.

  2. Na página Visão geral, escolha Criar modelo.

  3. Em Nome do modelo, insira um nome descritivo, comomy-waf-template.

  4. Para Tipo de firewall, escolha AWS WAF.

  5. Na seção Regras, escolha Adicionar regra e selecione as regras que você criou na Etapa 1.

  6. Selecione Criar modelo.

AWS Alternativa de CLI

Você também pode criar um modelo com a AWS CLI:

aws network-security-manager create-template \
    --template-name "my-waf-template" \
    --firewall-type WAF \
    --associated-rule-list '[{"ruleIdentifier": "rule-arn-from-step-1"}]' \
    --is-published true

Etapa 3: criar uma política

Uma política combina modelos com configurações de fiscalização. Nesta etapa, você cria uma política que faz referência ao seu modelo e permite a correção automática:

  1. No painel de navegação, selecione Visão geral.

  2. Na página Visão geral, escolha Criar política.

  3. Em Nome da política, insira um nome descritivo, como my-waf-policy.

  4. Para Tipo de firewall, escolha AWS WAF.

  5. Na seção Prioridade da política, as políticas existentes e suas prioridades são exibidas. Analise a prioridade da nova política. Se precisar ajustá-lo, escolha o campo de prioridade e altere o valor para 1 ou qualquer número de prioridade não utilizado.

  6. Na seção Modelos e regras, escolha Adicionar modelo e selecione o modelo que você criou na Etapa 2.

  7. Para Remediação, selecione Ativado.

  8. Para Resolução de ACL na web do cliente existente, escolha Sem remediação.

  9. Selecione Criar política.

AWS Alternativa de CLI

Você também pode criar uma política com a AWS CLI:

aws network-security-manager create-policy \
    --policy-name "my-waf-policy" \
    --firewall-type WAF \
    --priority 1 \
    --associated-template-and-rule-list '[{"templateIdentifier": "template-arn-from-step-2"}]' \
    --policy-configuration '{"remediationEnabled": true, "resourcesCleanUp": false, "wafConfig": {"existingCustomerWebACLResolution": "NO_REMEDIATION"}}' \
    --is-published true

Etapa 4: criar um escopo

Um escopo define onde suas proteções se aplicam. Nesta etapa, você cria um escopo que tem como alvo os Application Load Balancers em suas contas:

  1. No painel de navegação, selecione Visão geral.

  2. Na página Visão geral, escolha Criar escopo.

  3. Em Nome do escopo, insira um nome descritivo, comomy-alb-scope.

  4. (Opcional) Na seção Seleção de conta e unidade organizacional, em Selecionar método de controle do escopo administrativo, selecione Escopo para toda a AWS organização (todas as OUs e contas). Ignore esta etapa para implantações com uma única conta.

  5. Na seção Recursos, em Tipos de recursos, selecione Application Load Balancer.

  6. Escolha Create scope (Criar escopo).

AWS Alternativa de CLI

Você também pode criar um escopo com a AWS CLI:

aws network-security-manager create-scope \
    --scope-name "my-alb-scope" \
    --scope-configuration '{
        "accountFilter": {"includeAll": {}},
        "resourceScopes": {
            "AWS::ElasticLoadBalancingV2::LoadBalancer::application": {
                "includeAll": true
            }
        }
    }' \
    --is-published true

Etapa 5: criar e publicar uma implantação

Uma implantação vincula políticas a um escopo e ativa a fiscalização. Para criar e publicar uma implantação:

  1. No painel de navegação, selecione Visão geral.

  2. Na página Visão geral, escolha Criar implantação.

  3. Em Nome da implantação, insira um nome descritivo, comomy-first-deployment.

  4. Na seção Políticas, escolha Adicionar política e selecione a política que você criou na Etapa 3.

  5. Na seção Escopos, escolha Adicionar escopo e selecione o escopo que você criou na Etapa 4.

  6. Escolha Criar implantação.

AWS O Network Security Manager começa a descobrir recursos e a aplicar proteções. Esse processo é assíncrono e pode levar alguns minutos para ser concluído.

AWS Alternativa de CLI

Você também pode criar e publicar uma implantação com a AWS CLI:

aws network-security-manager create-deployment \
    --deployment-name "my-first-deployment" \
    --associated-policy-list '[{"policyIdentifier": "policy-arn-from-step-3"}]' \
    --associated-scope-list '[{"scopeIdentifier": "scope-arn-from-step-4"}]' \
    --deployment-configuration '{"enableCrossAccountVisibility": true}' \
    --is-published true

Etapa 6: Monitorar o status da sincronização

Depois de publicar uma implantação, o AWS Network Security Manager descobre recursos e sincroniza suas configurações. Para monitorar o status de cada recurso:

  1. No painel de navegação, selecione Visão geral.

  2. Escolha a guia Grupos de implantação.

  3. Escolha a implantação que você criou na Etapa 5.

  4. Escolha a guia Sincronização.

  5. Revise o status da sincronização de cada recurso:

    • IN_SYNC — A configuração do recurso corresponde às configurações de proteção pretendidas.

    • OUT_OF_SYNC — A configuração do recurso não corresponde. AWS O Network Security Manager corrige isso automaticamente quando a correção está ativada.

    • NOT_APPLICABLE — O recurso está no escopo, mas não pode ser avaliado por essa implantação.

AWS Alternativa de CLI

Você também pode verificar o status da sincronização com a AWS CLI:

aws network-security-manager list-resource-synchronization-statuses \
    --deployment-identifier "deployment-arn-from-step-5"

Etapa 7: limpar

Se você não precisar mais dos recursos criados, exclua-os na ordem inversa para interromper a aplicação e remover as proteções dos recursos dentro do escopo:

A ordem inversa é importante porque esses recursos fazem referência uns aos outros. Para ver o que está associado a um recurso antes de excluí-lo, chame ListResourceAssociations com o ARN desse recurso. Ele retorna o ARN e o tipo de recurso de cada recurso associado. Para obter mais informações, consulte a Referência da API do AWS Network Security Manager.

  1. No painel de navegação, selecione Visão geral. Escolha a guia Grupos de implantação. Selecione sua implantação, escolha Ação e, em seguida, escolha Excluir.

  2. Escolha a guia Escopos. Selecione seu escopo, escolha Ação e, em seguida, escolha Excluir.

  3. Escolha a guia Políticas. Selecione sua política, escolha Ação e, em seguida, escolha Excluir.

  4. Escolha a guia Modelos. Selecione seu modelo, escolha Ação e, em seguida, escolha Excluir.

  5. Escolha a guia Rules. Selecione sua regra, escolha Ação e, em seguida, escolha Excluir.

AWS Alternativa de CLI

Antes de excluir um recurso, verifique suas associações para planejar a ordem de exclusão:

aws network-security-manager list-resource-associations \
    --resource-arn "resource-arn"

Se um recurso ainda tiver associações, primeiro remova ou exclua os recursos associados.

Você pode excluir recursos com a AWS CLI na ordem inversa:

aws network-security-manager delete-deployment \
    --deployment-identifier "deployment-arn"

aws network-security-manager delete-scope \
    --scope-identifier "scope-arn"

aws network-security-manager delete-policy \
    --policy-identifier "policy-arn"

aws network-security-manager delete-template \
    --template-identifier "template-arn"

aws network-security-manager delete-rule \
    --rule-identifier "rule-arn"

Próximas etapas

Agora que você tem uma implantação em funcionamento, explore as seguintes formas de expandir sua proteção de segurança de rede: