View a markdown version of this page

Implementieren Sie Ihren ersten Netzwerksicherheitsschutz - AWS Manager für Netzwerksicherheit
VoraussetzungenSchritt 1: Erstellen Sie eine RegelSchritt 2: Erstellen Sie eine VorlageSchritt 3: Erstellen Sie eine RichtlinieSchritt 4: Erstellen Sie einen BereichSchritt 5: Eine Bereitstellung erstellen und veröffentlichenSchritt 6: Synchronisierungsstatus überwachenSchritt 7: BereinigenNächste Schritte

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Implementieren Sie Ihren ersten Netzwerksicherheitsschutz

Dieses Tutorial führt Sie durch die Bereitstellung einer AWS WAF-Web-ACL mithilfe der AWS Network Security Manager-Konsole. Sie führen die folgenden Schritte aus:

  1. Erstellen einer Regel

  2. Erstellen Sie eine Vorlage

  3. Erstellen einer Richtlinie

  4. Erstellen eines Geltungsbereichs

  5. Erstellen und veröffentlichen Sie ein Deployment

  6. Überwachen Sie den Synchronisierungsstatus

In diesem Tutorial erstellen Sie eine AWS WAF-Web-ACL, die Application Load Balancer für Ihre ausgewählten Konten schützt. Dieser Vorgang ist für alle Sicherheitsdienste und Firewalls, die von AWS Network Security Manager unterstützt werden, weitgehend identisch.

Zeit bis zur Fertigstellung: ca. 10 Minuten

Kosten: In diesem Tutorial werden AWS Dienste verwendet, für die möglicherweise Gebühren anfallen. Aktuelle Preise finden Sie auf der AWS Website unter AWS Network Security Manager-Preise.

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass Sie die folgenden Anforderungen erfüllen:

  • Die Einrichtungsschritte wurden wie unter beschrieben abgeschlossenEinrichtung AWS Manager für Netzwerksicherheit.

  • Eine AWS Identity and Access Management (IAM) -Identität mit AWS Network Security Manager-Berechtigungen.

  • Eine AWS Organizations mit allen aktivierten Funktionen und einem bestimmten AWS Network Security Manager-Administratorkonto (erforderlich für Bereitstellungen mit mehreren Konten).

  • Zugriff auf die AWS Network Security Manager-Konsole.

Schritt 1: Erstellen Sie eine Regel

Eine Regel ist der Baustein Ihrer Sicherheitskonfiguration. In diesem Schritt erstellen Sie zwei AWS WAF-Regeln: eine, die die Standardaktion festlegt, und eine, die die Sichtbarkeitskonfiguration festlegt. Standardaktion und VisibilityConfig sind Pflichtfelder für eine AWS WAF-Web-ACL.

Gehen Sie folgendermaßen vor, um die Standardaktionsregel zu erstellen:

  1. Öffnen Sie die AWS Network Security Manager-Konsole unter https://console.aws.amazon.com/network-security-manager/.

  2. Wählen Sie im Navigationsbereich Overview (Übersicht) aus.

  3. Wählen Sie auf der Übersichtsseite die Option Regel erstellen aus.

  4. Geben Sie unter Regelname einen aussagekräftigen Namen ein, z. B. my-default-action-rule

  5. Wählen Sie im Abschnitt Regeldefinition für Firewalltyp die Option AWS WAF aus.

  6. Wählen Sie für Regeltyp auswählen die Option Konfiguration aus.

  7. Wählen Sie Konfigurationstypen einfügen und anschließend Standardaktion aus. Ein JSON-Editor mit einer Standardkonfiguration wird angezeigt.

  8. Entfernen Sie im JSON-Editor den Block Abschnitt und behalten Sie nur den Allow Abschnitt bei.

  9. Wählen Sie Regel erstellen aus.

Gehen Sie folgendermaßen vor, um die VisibilityConfig Regel zu erstellen:

  1. Wählen Sie im Navigationsbereich Overview (Übersicht) aus.

  2. Wählen Sie auf der Übersichtsseite die Option Regel erstellen aus.

  3. Geben Sie unter Regelname einen aussagekräftigen Namen ein, z. B. my-visibility-config-rule

  4. Wählen Sie im Abschnitt Regeldefinition für Firewalltyp die Option AWS WAF aus.

  5. Wählen Sie für Regeltyp auswählen die Option Konfiguration aus.

  6. Wählen Sie Konfigurationstypen einfügen und wählen Sie dann aus VisibilityConfig. Ein JSON-Editor mit einer Standardkonfiguration wird angezeigt.

  7. Wählen Sie Regel erstellen aus.

AWS CLI-Alternative

Sie können Regeln auch mit der AWS CLI erstellen:

aws network-security-manager create-rule \
    --rule-name "my-default-action-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"DefaultAction": {"Allow": {}}}' \
    --is-published true

aws network-security-manager create-rule \
    --rule-name "my-visibility-config-rule" \
    --firewall-type WAF \
    --rule-type CONFIGURATION \
    --configuration '{"VisibilityConfig": {"SampledRequestsEnabled": true, "CloudWatchMetricsEnabled": true, "MetricName": "my-web-acl-metric"}}' \
    --is-published true

Schritt 2: Erstellen Sie eine Vorlage

Eine Vorlage gruppiert eine oder mehrere Regeln für die richtlinienübergreifende Wiederverwendung. In diesem Schritt erstellen Sie eine Vorlage, die die Regel aus Schritt 1 enthält:

  1. Wählen Sie im Navigationsbereich Overview (Übersicht) aus.

  2. Wählen Sie auf der Übersichtsseite die Option Vorlage erstellen aus.

  3. Geben Sie als Vorlagenname einen aussagekräftigen Namen ein, z. B. my-waf-template

  4. Wählen Sie als Firewalltyp AWS WAF aus.

  5. Wählen Sie im Abschnitt Regeln die Option Regel hinzufügen und wählen Sie die Regeln aus, die Sie in Schritt 1 erstellt haben.

  6. Wählen Sie Create template (Vorlage erstellen) aus.

AWS CLI-Alternative

Sie können auch eine Vorlage mit der AWS CLI erstellen:

aws network-security-manager create-template \
    --template-name "my-waf-template" \
    --firewall-type WAF \
    --associated-rule-list '[{"ruleIdentifier": "rule-arn-from-step-1"}]' \
    --is-published true

Schritt 3: Erstellen Sie eine Richtlinie

Eine Richtlinie kombiniert Vorlagen mit Durchsetzungseinstellungen. In diesem Schritt erstellen Sie eine Richtlinie, die auf Ihre Vorlage verweist und automatische Problembehebungen ermöglicht:

  1. Wählen Sie im Navigationsbereich Overview (Übersicht) aus.

  2. Wählen Sie auf der Übersichtsseite die Option Richtlinie erstellen aus.

  3. Geben Sie als Richtlinienname einen aussagekräftigen Namen ein, z. B. my-waf-policy

  4. Wählen Sie als Firewall-Typ AWS WAF aus.

  5. Im Abschnitt Richtlinienpriorität werden die vorhandenen Richtlinien und ihre Prioritäten angezeigt. Überprüfen Sie die Priorität der neuen Richtlinie. Wenn Sie sie anpassen müssen, wählen Sie das Prioritätsfeld aus und ändern Sie den Wert in 1 oder eine ungenutzte Prioritätsnummer.

  6. Wählen Sie im Abschnitt Vorlagen und Regeln die Option Vorlage hinzufügen und wählen Sie die Vorlage aus, die Sie in Schritt 2 erstellt haben.

  7. Wählen Sie für Korrektur die Option Aktiviert aus.

  8. Wählen Sie für die Web-ACL-Auflösung für bestehende Kunden die Option Keine Korrektur aus.

  9. Wählen Sie Richtlinie erstellen aus.

AWS CLI-Alternative

Sie können eine Richtlinie auch mit der AWS CLI erstellen:

aws network-security-manager create-policy \
    --policy-name "my-waf-policy" \
    --firewall-type WAF \
    --priority 1 \
    --associated-template-and-rule-list '[{"templateIdentifier": "template-arn-from-step-2"}]' \
    --policy-configuration '{"remediationEnabled": true, "resourcesCleanUp": false, "wafConfig": {"existingCustomerWebACLResolution": "NO_REMEDIATION"}}' \
    --is-published true

Schritt 4: Erstellen Sie einen Bereich

Ein Geltungsbereich definiert, wo Ihre Schutzmaßnahmen gelten. In diesem Schritt erstellen Sie einen Bereich, der auf Application Load Balancer in Ihren Konten abzielt:

  1. Wählen Sie im Navigationsbereich Overview (Übersicht) aus.

  2. Wählen Sie auf der Übersichtsseite die Option Bereich erstellen aus.

  3. Geben Sie als Bereichsname einen beschreibenden Namen ein, z. B. my-alb-scope

  4. (Optional) Wählen Sie im Abschnitt Auswahl von Konten und Organisationseinheiten für Methode zur Steuerung des administrativen Geltungsbereichs die Option Gültigkeitsbereich für die gesamte AWS Organisation (alle Organisationseinheiten und Konten) aus. Überspringen Sie diesen Schritt bei Bereitstellungen mit einem einzigen Konto.

  5. Wählen Sie im Abschnitt Ressourcen für Ressourcentypen die Option Application Load Balancer aus.

  6. Wählen Sie Create scope (Bereich erstellen).

AWS CLI-Alternative

Sie können einen Bereich auch mit der AWS CLI erstellen:

aws network-security-manager create-scope \
    --scope-name "my-alb-scope" \
    --scope-configuration '{
        "accountFilter": {"includeAll": {}},
        "resourceScopes": {
            "AWS::ElasticLoadBalancingV2::LoadBalancer::application": {
                "includeAll": true
            }
        }
    }' \
    --is-published true

Schritt 5: Eine Bereitstellung erstellen und veröffentlichen

Eine Bereitstellung bindet Richtlinien an einen Geltungsbereich und aktiviert deren Durchsetzung. So erstellen und veröffentlichen Sie eine Bereitstellung:

  1. Wählen Sie im Navigationsbereich Overview (Übersicht) aus.

  2. Wählen Sie auf der Übersichtsseite die Option Bereitstellung erstellen aus.

  3. Geben Sie als Bereitstellungsname einen aussagekräftigen Namen ein, z. B. my-first-deployment

  4. Wählen Sie im Abschnitt Richtlinien die Option Richtlinie hinzufügen und wählen Sie die Richtlinie aus, die Sie in Schritt 3 erstellt haben.

  5. Wählen Sie im Abschnitt Bereiche die Option Bereich hinzufügen und wählen Sie den Bereich aus, den Sie in Schritt 4 erstellt haben.

  6. Wählen Sie Create deployment.

AWS Network Security Manager beginnt mit der Suche nach Ressourcen und der Anwendung von Schutzmaßnahmen. Dieser Vorgang ist asynchron und kann einige Minuten dauern.

AWS CLI-Alternative

Sie können eine Bereitstellung auch mit der AWS CLI erstellen und veröffentlichen:

aws network-security-manager create-deployment \
    --deployment-name "my-first-deployment" \
    --associated-policy-list '[{"policyIdentifier": "policy-arn-from-step-3"}]' \
    --associated-scope-list '[{"scopeIdentifier": "scope-arn-from-step-4"}]' \
    --deployment-configuration '{"enableCrossAccountVisibility": true}' \
    --is-published true

Schritt 6: Synchronisierungsstatus überwachen

Nachdem Sie eine Bereitstellung veröffentlicht haben, erkennt AWS Network Security Manager Ressourcen und synchronisiert deren Konfigurationen. Um den Status der einzelnen Ressourcen zu überwachen, gehen Sie wie folgt vor:

  1. Wählen Sie im Navigationsbereich Overview (Übersicht) aus.

  2. Wählen Sie die Registerkarte Bereitstellen.

  3. Wählen Sie die Bereitstellung aus, die Sie in Schritt 5 erstellt haben.

  4. Wählen Sie die Registerkarte Synchronisation.

  5. Überprüfen Sie den Synchronisierungsstatus für jede Ressource:

    • IN_SYNC — Die Ressourcenkonfiguration entspricht Ihren beabsichtigten Schutzeinstellungen.

    • OUT_OF_SYNC — Die Ressourcenkonfiguration stimmt nicht überein. AWS Network Security Manager behebt dies automatisch, wenn die Wiederherstellung aktiviert ist.

    • NOT_APPLICABLE — Die Ressource befindet sich im Gültigkeitsbereich, kann aber durch diese Bereitstellung nicht bewertet werden.

AWS CLI-Alternative

Sie können den Synchronisationsstatus auch mit der AWS CLI überprüfen:

aws network-security-manager list-resource-synchronization-statuses \
    --deployment-identifier "deployment-arn-from-step-5"

Schritt 7: Bereinigen

Wenn Sie die von Ihnen erstellten Ressourcen nicht mehr benötigen, löschen Sie sie in umgekehrter Reihenfolge, um die Durchsetzung zu verhindern und den Schutz für Ressourcen aufzuheben, die in den Geltungsbereich fallen:

Die umgekehrte Reihenfolge ist wichtig, da diese Ressourcen aufeinander verweisen. Um zu sehen, was mit einer Ressource verknüpft ist, bevor Sie sie löschen, rufen Sie ListResourceAssociations mit dem ARN dieser Ressource auf. Es gibt den ARN und den Ressourcentyp jeder zugehörigen Ressource zurück. Weitere Informationen finden Sie in der AWS Network Security Manager API-Referenz.

  1. Wählen Sie im Navigationsbereich Overview (Übersicht) aus. Wählen Sie die Registerkarte Bereitstellen. Wählen Sie Ihre Bereitstellung aus, klicken Sie auf Aktion und anschließend auf Löschen.

  2. Wählen Sie die Registerkarte Bereiche aus. Wählen Sie Ihren Bereich aus, klicken Sie auf Aktion und anschließend auf Löschen.

  3. Wählen Sie die Registerkarte Policies. Wählen Sie Ihre Richtlinie aus, wählen Sie Aktion und dann Löschen aus.

  4. Wählen Sie die Registerkarte Templates (Vorlagen) aus. Wählen Sie Ihre Vorlage aus, wählen Sie Aktion und anschließend Löschen aus.

  5. Wählen Sie die Registerkarte Rules (Regeln). Wählen Sie Ihre Regel aus, wählen Sie Aktion und dann Löschen.

AWS CLI-Alternative

Bevor Sie eine Ressource löschen, überprüfen Sie ihre Verknüpfungen, um die Löschreihenfolge zu planen:

aws network-security-manager list-resource-associations \
    --resource-arn "resource-arn"

Wenn eine Ressource immer noch Verknüpfungen hat, entfernen oder löschen Sie zuerst die zugehörigen Ressourcen.

Sie können Ressourcen mit der AWS CLI in umgekehrter Reihenfolge löschen:

aws network-security-manager delete-deployment \
    --deployment-identifier "deployment-arn"

aws network-security-manager delete-scope \
    --scope-identifier "scope-arn"

aws network-security-manager delete-policy \
    --policy-identifier "policy-arn"

aws network-security-manager delete-template \
    --template-identifier "template-arn"

aws network-security-manager delete-rule \
    --rule-identifier "rule-arn"

Nächste Schritte

Nachdem Sie nun über eine funktionierende Bereitstellung verfügen, sollten Sie die folgenden Möglichkeiten zur Erweiterung Ihres Netzwerksicherheitsschutzes erkunden: