Habilita Amazon de GuardDuty forma condicional mediante plantillas AWS CloudFormation

Ram Kandaswamy, Amazon Web Services

Resumen

AWS CloudFormation, una herramienta de infraestructura como código (IaC), le ayuda a gestionar AWS los recursos mediante despliegues basados en plantillas. CloudFormation se suele utilizar para gestionar los recursos. AWS Usarlo para habilitar Servicios de AWS, como Amazon GuardDuty, puede presentar desafíos únicos. GuardDuty es un servicio de detección de amenazas que monitorea continuamente sus Cuentas de AWS actividades maliciosas y comportamientos no autorizados. A diferencia de los recursos típicos, que se pueden crear varias veces, GuardDuty es un servicio que debe habilitarse una vez por cuenta y Región de AWS. CloudFormation Las condiciones tradicionales solo admiten comparaciones de valores estáticos, lo que dificulta la comprobación del estado actual de servicios como GuardDuty. Si intentas activar la conexión a GuardDuty través CloudFormation de una cuenta que ya está activa, se produce un error en la implementación de la pila. Esto puede crear desafíos operativos para los DevOps equipos que administran entornos con varias cuentas.

Este patrón presenta una solución a este desafío. Utiliza recursos CloudFormation personalizados respaldados por AWS Lambdafunciones para realizar comprobaciones de estado dinámicas. La lógica condicional GuardDuty solo se activa si aún no está habilitada. Utiliza las salidas de la pila para registrar el GuardDuty estado para futuras referencias.

Si sigue este patrón, puede automatizar las GuardDuty implementaciones en toda su AWS infraestructura y, al mismo tiempo, mantener las operaciones de CloudFormation apilado limpias y predecibles. Este enfoque es particularmente valioso para las organizaciones que:

Requisitos previos y limitaciones

Requisitos previos 

Limitaciones

Si se GuardDuty ha desactivado manualmente para una Cuenta de AWS o Región de AWS, este patrón no se habilita GuardDuty para esa cuenta o región de destino.

Arquitectura

Pila de tecnología de destino

El patrón utiliza CloudFormation la infraestructura como código (IaC). Utiliza un recurso CloudFormation personalizado respaldado por una función Lambda para lograr la capacidad de habilitación dinámica de servicios.

Arquitectura de destino

El siguiente diagrama de arquitectura de alto nivel muestra el proceso de habilitación GuardDuty mediante la implementación de una plantilla: CloudFormation

Automatización y escala

Puede usar la AWS CloudFormation StackSet función para extender esta solución a múltiples Cuentas de AWS y Regiones de AWS. Para obtener más información, consulte Trabajar con AWS CloudFormation StackSets él en la CloudFormation documentación.

Tools (Herramientas)

Epics

Recursos relacionados

Referencias

Tutoriales y videos

Información adicional

Código Python

import boto3
import os
import json
from botocore.exceptions import ClientError
import cfnresponse
guardduty=boto3.client('guardduty')
cfn=boto3.client('cloudformation')
def lambda_handler(event, context):
    print('Event: ', event)
    if 'RequestType' in event:    
      if event['RequestType'] in ["Create","Update"]:
          enabled=False
          try:  
            response=guardduty.list_detectors()
            if "DetectorIds" in response and len(response["DetectorIds"])>0:
              enabled="AlreadyEnabled"
            elif "DetectorIds" in response and len(response["DetectorIds"])==0:
              cfn_response=cfn.create_stack(
                StackName='guardduty-cfn-stack',
                TemplateBody='{ "AWSTemplateFormatVersion": "2010-09-09",    "Description": "Guard duty creation template",    "Resources": { "IRWorkshopGuardDutyDetector": {  "Type": "AWS::GuardDuty::Detector",    "Properties": {   "Enable": true  }   } } }'
                )
              enabled="True"
          except Exception as e:
              print("Exception: ",e)
          responseData = {}
          responseData['status'] = enabled
          cfnresponse.send(event, context, cfnresponse.SUCCESS, responseData, "CustomResourcePhysicalID" )
      elif event['RequestType'] == "Delete":
          cfn_response=cfn.delete_stack(
                  StackName='guardduty-cfn-stack')
          cfnresponse.send(event, context, cfnresponse.SUCCESS, {})