Aktivieren Sie Amazon GuardDuty unter bestimmten Bedingungen mithilfe von Vorlagen AWS CloudFormation

Ram Kandaswamy, Amazon Web Services

Zusammenfassung

AWS CloudFormation, ein IaC-Tool (Infrastructure as Code), hilft Ihnen bei der Verwaltung AWS von Ressourcen durch vorlagenbasierte Bereitstellungen. CloudFormation wird in der Regel zur Verwaltung von Ressourcen verwendet. AWS Es zu aktivieren AWS-Services, wie Amazon GuardDuty, kann besondere Herausforderungen mit sich bringen. GuardDuty ist ein Dienst zur Erkennung von Bedrohungen, der Sie kontinuierlich auf AWS-Konten böswillige Aktivitäten und unbefugtes Verhalten überwacht. Im Gegensatz zu typischen Ressourcen, die mehrfach erstellt werden können, GuardDuty handelt es sich um einen Dienst, der einmal pro Konto aktiviert werden muss und AWS-Region. Herkömmliche CloudFormation Bedingungen unterstützen nur statische Wertvergleiche, was es schwierig macht, den aktuellen Status von Diensten wie zu überprüfen GuardDuty. Wenn Sie versuchen, die Aktivierung CloudFormation in GuardDuty einem Konto durchzuführen, in dem es bereits aktiv ist, schlägt die Stack-Bereitstellung fehl. Dies kann zu betrieblichen Herausforderungen für DevOps Teams führen, die Umgebungen mit mehreren Konten verwalten.

Dieses Muster bietet eine Lösung für diese Herausforderung. Es verwendet CloudFormation benutzerdefinierte Ressourcen, die von AWS LambdaFunktionen unterstützt werden, um dynamische Zustandsprüfungen durchzuführen. Die bedingte Logik wird GuardDuty nur aktiviert, wenn sie nicht bereits aktiviert ist. Es verwendet die Stack-Ausgaben, um den GuardDuty Status zur future Referenz aufzuzeichnen.

Wenn Sie diesem Muster folgen, können Sie GuardDuty Bereitstellungen in Ihrer gesamten AWS Infrastruktur automatisieren und gleichzeitig einen sauberen, vorhersehbaren CloudFormation Stack-Betrieb aufrechterhalten. Dieser Ansatz ist besonders wertvoll für Unternehmen, die:

Voraussetzungen und Einschränkungen

Voraussetzungen

Einschränkungen

Wenn dieses Muster für ein AWS-Konto oder manuell deaktiviert GuardDuty wurde AWS-Region, wird es GuardDuty für dieses Zielkonto oder diese Region nicht aktiviert.

Architektur

Zieltechnologie-Stack

Das Muster wird CloudFormation für Infrastructure as Code (IaC) verwendet. Sie verwenden eine CloudFormation benutzerdefinierte Ressource, die von einer Lambda-Funktion unterstützt wird, um die dynamische Service-Enablement-Funktion zu erreichen.

Zielarchitektur

Das folgende Architekturdiagramm auf hoher Ebene zeigt den Prozess der Aktivierung GuardDuty durch die Bereitstellung einer CloudFormation Vorlage:

Automatisierung und Skalierung

Sie können die AWS CloudFormation StackSet Funktion verwenden, um diese Lösung auf mehrere AWS-Konten und auszudehnen AWS-Regionen. Weitere Informationen finden Sie AWS CloudFormation StackSets in der CloudFormation Dokumentation unter Arbeiten mit.

Tools

Epen

Zugehörige Ressourcen

Referenzen

Tutorials und Videos

Zusätzliche Informationen

Python-Kode

import boto3
import os
import json
from botocore.exceptions import ClientError
import cfnresponse
guardduty=boto3.client('guardduty')
cfn=boto3.client('cloudformation')
def lambda_handler(event, context):
    print('Event: ', event)
    if 'RequestType' in event:    
      if event['RequestType'] in ["Create","Update"]:
          enabled=False
          try:  
            response=guardduty.list_detectors()
            if "DetectorIds" in response and len(response["DetectorIds"])>0:
              enabled="AlreadyEnabled"
            elif "DetectorIds" in response and len(response["DetectorIds"])==0:
              cfn_response=cfn.create_stack(
                StackName='guardduty-cfn-stack',
                TemplateBody='{ "AWSTemplateFormatVersion": "2010-09-09",    "Description": "Guard duty creation template",    "Resources": { "IRWorkshopGuardDutyDetector": {  "Type": "AWS::GuardDuty::Detector",    "Properties": {   "Enable": true  }   } } }'
                )
              enabled="True"
          except Exception as e:
              print("Exception: ",e)
          responseData = {}
          responseData['status'] = enabled
          cfnresponse.send(event, context, cfnresponse.SUCCESS, responseData, "CustomResourcePhysicalID" )
      elif event['RequestType'] == "Delete":
          cfn_response=cfn.delete_stack(
                  StackName='guardduty-cfn-stack')
          cfnresponse.send(event, context, cfnresponse.SUCCESS, {})