View a markdown version of this page

Bagaimana AWS Manajer Keamanan Jaringan bekerja - AWS Manajer Keamanan Jaringan
AWS Model sumber daya Manajer Keamanan JaringanAWS Siklus hidup sumber daya Manajer Keamanan Jaringan, penggabungan, dan sinkronisasi

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Bagaimana AWS Manajer Keamanan Jaringan bekerja

Gunakan model sumber daya Manajer Keamanan AWS Jaringan untuk merancang dan mengelola perlindungan keamanan jaringan untuk sumber daya dalam satu akun atau di beberapa akun di organisasi Anda. Bab ini menjelaskan lima jenis sumber daya, bagaimana mereka membentuk hierarki, dan konsep-konsep kunci yang mengatur perilaku mereka.

AWS Model sumber daya Manajer Keamanan Jaringan

AWS Network Security Manager menggunakan lima jenis sumber daya yang diatur dalam hierarki komposisi:

Aturan dan template terkandung dalam kebijakan. Penerapan menggabungkan kebijakan ke ruang lingkup.

Sumber daya saling mereferensikan ke atas melalui hierarki. Aturan digunakan dalam templat dan kebijakan. Template, aturan, atau keduanya digunakan dalam kebijakan. Lingkup mereferensikan sumber daya yang dilindungi kebijakan dalam penerapan.

Bagian berikut menjelaskan setiap jenis sumber daya dalam hierarki.

Aturan — Unit atom konfigurasi keamanan jaringan. Ada dua jenis aturan — aturan inspeksi lalu lintas dan aturan konfigurasi firewall. Inspeksi lalu lintas berfokus pada bagaimana layanan keamanan menangani lalu lintas. Aturan konfigurasi menentukan operasi sistem di luar inspeksi lalu lintas. Struktur aturan bervariasi menurut jenis firewall.

Template — Kelompok aturan yang dipesan dan dapat digunakan kembali untuk satu jenis firewall. Gunakan templat untuk mengemas aturan terkait bersama-sama dan membagikannya di beberapa kebijakan. Template bersifat opsional.

Kebijakan — Menggabungkan serangkaian templat dan aturan yang diurutkan dengan pengaturan penegakan untuk jenis firewall. Setiap kebijakan membawa prioritas (angka yang lebih rendah menunjukkan prioritas yang lebih tinggi). Ketika beberapa kebijakan melindungi sumber daya yang sama, prioritas menentukan bagaimana konflik diselesaikan. Untuk aturan inspeksi lalu lintas, prioritas menentukan urutan di mana aturan dikumpulkan. Untuk aturan konfigurasi firewall, prioritas menentukan konfigurasi mana yang berlaku untuk setiap sumber daya dan kebijakan dalam cakupannya.

Lingkup — Pilihan deklaratif di mana perlindungan berlaku. Lingkup menentukan jenis sumber daya mana yang harus dilindungi, dan Anda dapat memfilter sumber daya secara opsional berdasarkan tag atau atribut konfigurasi. Dalam mode multi-akun, ruang lingkup juga menentukan akun atau OU mana yang akan disertakan atau dikecualikan. Dalam mode akun tunggal, ruang lingkup berlaku untuk akun itu sendiri. Mode lingkup diperbaiki saat Anda membuatnya. Anda tidak dapat mengganti ruang lingkup antara mode multi-akun dan akun tunggal di kedua arah, sehingga cakupan multi-akun tidak akan pernah menjadi cakupan akun tunggal, atau sebaliknya.

Deployment - Mengikat satu atau beberapa kebijakan ke ruang lingkup. Menerbitkan penyebaran mengaktifkan penegakan hukum. AWS Manajer Keamanan Jaringan menemukan sumber daya dalam ruang lingkup, menghitung konfigurasi yang dimaksudkan, dan secara opsional memulihkan sumber daya yang tidak sinkron.

Untuk batas komposisi sumber daya, lihatAWS Kuota Manajer Keamanan Jaringan.

AWS Siklus hidup sumber daya Manajer Keamanan Jaringan, penggabungan, dan sinkronisasi

Bagian berikut menjelaskan perilaku dan mekanisme yang mengatur cara sumber daya Manajer Keamanan AWS Jaringan beroperasi setelah Anda membuatnya.

Draf dan siklus hidup aktif

Setiap sumber daya Manajer Keamanan AWS Jaringan — termasuk aturan, templat, kebijakan, cakupan, dan penerapan — memiliki status Draf atau Aktif:

  • Aktif — Status default. Sumber daya diterbitkan dan tersedia untuk digunakan. Sumber daya lain dapat mereferensikannya, dan penerapan yang menyertakannya menegakkan konfigurasinya.

  • Draf — Sumber daya disimpan tetapi belum aktif. Sumber daya draf tidak ditegakkan dan tidak dapat direferensikan oleh sumber daya lain. Saat Anda membuat atau memperbarui sumber daya, pilih Simpan draf agar tetap dalam status draf.

Secara default, Manajer Keamanan AWS Jaringan membuat sumber daya sebagai Aktif. Untuk membuat sumber daya sebagai Draft menggunakan API, setel isPublished parameter ke false dalam operasi buat atau perbarui.

Saat Anda memperbarui sumber daya, skenario berikut berlaku:

Keadaan saat ini Tindakan Hasil
Draf Pilih Simpan draf Perbarui draf (tetap Draf)
Draf Pilih Publikasikan Publikasikan draf (menjadi Aktif)
Aktif Pilih Publikasikan Perbarui dan tetap aktif (Aktif)
Aktif Pilih Simpan draf Buat hamparan draf (menjadi Draf dengan sumber daya Aktif di bawahnya)

hasPublishedVersionBidang muncul di daftar dan mendapatkan tanggapan. Bidang ini memberi tahu Anda apakah sumber daya Aktif yang diterbitkan ada di bawah draf. Ketika sumber daya memiliki status Draf danhasPublishedVersion: true, draf yang tertunda berada di atas sumber daya Aktif yang diterbitkan secara langsung.

Anda tidak dapat menghapus sumber daya Aktif yang referensi sumber daya Aktif lainnya.

Penentuan versi

Setiap sumber daya Manajer Keamanan AWS Jaringan — termasuk aturan, templat, kebijakan, cakupan, dan penerapan — dapat dibuat versi. Untuk membuat versi sumber daya Aktif, pilih sumber daya, pilih Tindakan, lalu pilih Buat snapshot berversi. Versi tidak dibuat secara otomatis pada setiap pembaruan.

AWS CLI alternatif

Anda juga dapat membuat versi menggunakan operasi Create{Resource}Snapshot API pada sumber daya Aktif.

Properti versi kunci:

  • Setiap versi memiliki nomor unik (bilangan bulat berurutan) dan ARN yang memenuhi syarat versi (misalnya,). arn:aws:network-security-manager:us-east-1:123456789012:rule:abc123:3

  • Versi tidak dapat diubah. Mereka tidak dapat diperbarui.

  • Anda dapat membuat hingga 10 versi per sumber daya.

  • Versi dapat diberi tag.

Gunakan versi untuk mempertahankan varian konfigurasi yang diinginkan. Untuk memutar kembali sumber daya, baca versi, lalu perbarui sumber daya langsung dengan konfigurasi versi yang diinginkan.

Priority-based penggabungan kebijakan

Ketika beberapa kebijakan melindungi sumber daya yang sama, AWS Network Security Manager menggabungkan konfigurasinya menjadi satu hasil. Angka prioritas yang lebih rendah menunjukkan prioritas yang lebih tinggi (prioritas 1 lebih diutamakan daripada prioritas 2). Ketika AWS Network Security Manager menggabungkan kebijakan yang berisi aturan inspeksi lalu lintas, prioritas menentukan urutan di mana aturan digabungkan. Untuk aturan konfigurasi firewall, kebijakan prioritas tinggi menentukan konfigurasi mana yang berlaku.

AWS Manajer Keamanan Jaringan mengevaluasi prioritas pada dua tingkat, dalam urutan ini:

  1. Prioritas administrator — Manajer Keamanan AWS Jaringan mengevaluasi prioritas administrator terlebih dahulu. Setiap administrator organisasi diberi prioritas, seperti yang dijelaskan dalamAkun administrator dan anggota. Ketika AWS Network Security Manager menggabungkan kebijakan, itu memberi peringkat kebijakan administrator lebih tinggi daripada kebijakan akun tunggal akun anggota itu sendiri. Jika kebijakan administrator dan kebijakan akun tunggal akun anggota berlaku untuk sumber daya dan konflik, konfigurasi kebijakan administrator akan menang. Akun anggota tidak dapat memilih keluar, mengganti, atau membebaskan dirinya dari kebijakan administrator.

  2. Prioritas kebijakan — Dalam setiap akun, Manajer Keamanan AWS Jaringan kemudian menggunakan prioritas kebijakan untuk menyelesaikan konflik yang tersisa. Nilai prioritas kebijakan adalah bilangan bulat mulai dari 1 dan harus unik per akun.

Anda menetapkan prioritas administrator dengan priority bidang yang diperlukan pada PutAdminAccount operasi, bilangan bulat dari 1 hingga 10. Nilai prioritas adalah unik, sehingga dua administrator tidak pernah berbagi prioritas dan tidak diperlukan tie-breaking. Untuk informasi selengkapnya, lihat Referensi API AWS Network Security Manager.

Hasil gabungan dari semua kebijakan yang berlaku untuk sumber daya adalah konfigurasi firewall yang efektif. AWS Network Security Manager menghitung konfigurasi ini, membandingkannya dengan konfigurasi sumber daya yang sebenarnya, dan melaporkan perbedaan apa pun sebagai status sinkronisasi.

Ketika kebijakan bertentangan, Manajer Keamanan AWS Jaringan membandingkan setiap atribut dan menerapkan nilai dari kebijakan prioritas yang lebih tinggi. Jika kebijakan prioritas lebih tinggi tidak menentukan atribut, nilai kebijakan prioritas rendah akan berlaku. Sumber daya yang cocok dengan konfigurasi efektif adalah IN_SYNC. Sumber daya yang dilindungi oleh kebijakan prioritas rendah yang pengaturannya diganti oleh laporan kebijakan prioritas lebih tinggi sebagai OUT_OF_SYNC untuk penerapan dengan prioritas lebih rendah. Ini adalah perilaku yang diharapkan, bukan kegagalan.

Penemuan sumber daya dengan AWS Config

AWS Manajer Keamanan Jaringan menemukan sumber daya yang dilindungi di akun Anda menggunakan perekam AWS konfigurasi Config terkait layanan. Perekam ini dibuat secara otomatis di setiap akun saat akun tersebut memasuki ruang lingkup penerapan. Tidak seperti AWS Firewall Manager, Anda tidak perlu melakukan pengaturan tambahan apa pun. AWS Penggunaan Config oleh AWS Network Security Manager tidak dibebankan kepada pelanggan AWS Network Security Manager.

Karakteristik utama dari perekam terkait layanan:

  • Itu dinamaiAWSConfigurationRecorderForNetworkSecurityManager.

  • Ini terpisah dari perekam konfigurasi yang dikelola pelanggan di akun.

  • Ini hanya mencatat jenis sumber daya yang relevan dengan cakupan dan penerapan aktif Anda.

  • Anda tidak perlu mengatur AWS Config atau membuat perekam konfigurasi. AWS Manajer Keamanan Jaringan mengelola ini secara otomatis. AWS Penggunaan Config oleh AWS Network Security Manager tidak dibebankan kepada pelanggan.

  • Anda tidak dapat memodifikasi atau menghapus perekam saat sedang digunakan. AWS Network Security Manager mengelola siklus hidupnya secara otomatis.

Anda tidak perlu mengaktifkan atau mengkonfigurasi AWS Config secara manual agar AWS Network Security Manager berfungsi. Layanan menangani penemuan sumber daya secara otomatis setelah Anda memublikasikan penerapan.

Sinkronisasi dan remediasi

Penegakan di Manajer Keamanan AWS Jaringan tidak sinkron dan akhirnya konsisten. Setelah Anda memublikasikan penerapan, atau saat sumber daya berubah, tahapan berikut akan terjadi:

  1. Penemuan sumber daya — Manajer Keamanan AWS Jaringan menemukan sumber daya dalam ruang lingkup menggunakan perekam AWS Config terkait layanan.

  2. Perhitungan konfigurasi — Untuk setiap sumber daya yang ditemukan, AWS Network Security Manager menghitung konfigurasi firewall yang efektif dengan menggabungkan semua kebijakan yang berlaku berdasarkan prioritas.

  3. Evaluasi sinkronisasi — Manajer Keamanan AWS Jaringan membandingkan konfigurasi efektif dengan konfigurasi aktual sumber daya dan mencatat status sinkronisasi.

  4. Remediasi (opsional) — Jika Anda menetapkan remediationEnabled kebijakan, AWS Network Security Manager mengoreksi sumber daya yang tidak sinkron agar sesuai dengan konfigurasi yang efektif.

Setiap tahap asinkron. Konsekuensi untuk alur kerja Anda:

  • Ada penundaan antara penerbitan penyebaran dan sumber daya menjadi dilindungi.

  • Ada penundaan antara membuat sumber daya baru dalam ruang lingkup dan dilindungi.

  • Last CheckedStempel waktu pada entri status sinkronisasi memberi tahu Anda kapan Manajer Keamanan AWS Jaringan terakhir mengevaluasi sumber daya.

Remediasi dan pembersihan sumber daya adalah pengaturan tingkat kebijakan. Anda mengonfigurasi masing-masing per kebijakan di policyConfiguration objek.

remediationEnabled

Menentukan apakah Manajer Keamanan AWS Jaringan secara otomatis memulihkan sumber daya yang tidak sesuai. Saat Anda mengaktifkan setelan ini, AWS Network Security Manager mengoreksi sumber daya yang tidak sinkron agar sesuai dengan konfigurasi yang efektif.

resourcesCleanUp

Menentukan apakah AWS Network Security Manager secara otomatis menghapus sumber daya yang dibuat ketika mereka tidak lagi diperlukan. AWS Network Security Manager menghapus firewall yang dibuat saat Anda menghapus penyebaran, atau ketika akun atau sumber daya keluar dari cakupan.

Pengaturan remediationEnabled dan resourcesCleanUp pengaturan keduanya default kefalse. AWS Network Security Manager tidak memperbaiki atau membersihkan sumber daya sampai Anda mengaktifkan pengaturan ini. policyConfigurationObjek juga berlakuwafConfig, yang berlaku untuk kebijakan AWS WAF. Untuk informasi selengkapnya, lihat Referensi API AWS Network Security Manager.

Saat sumber daya tidak sinkron, status sinkronisasi menyertakan alasan tidak sinkron dengan detail per setelan yang menunjukkan nilai yang diharapkan dibandingkan dengan nilai aktual. Alasannya diatur ke dalam kategori berikut:

  • missingFirewall— Tidak ada perlindungan firewall yang terkait dengan sumber daya.

  • invalidFirewall— Firewall ada tetapi konfigurasinya berbeda dari konfigurasi yang efektif. Ini termasuk enam ember detail:incorrectSingleValueConfigurations,,missingAppendableConfigurationValues,unexpectedAppendableConfigurationValues, incorrectAppendableConfigurationOrdermissingMergeableConfigurationValues, danunexpectedMergeableConfigurationValues.

Jika remediasi diaktifkan tetapi Manajer Keamanan AWS Jaringan tidak dapat memperbaiki sumber daya, remediationIssues bidang menyediakanissueType, message menjelaskan masalah, dan correctiveAction menyarankan cara mengatasinya.

AWS Network Security Manager tidak mengevaluasi pengaturan yang tidak dikelola. Jika bidang tidak muncul dalam aturan kontribusi apa pun, Manajer Keamanan AWS Jaringan mengabaikannya selama evaluasi sinkronisasi.

Akun administrator dan anggota

AWS Network Security Manager menggunakan model manajemen lintas akun yang dibangun di atas AWS Organizations:

  • Akun Administrator — Akun tempat Anda membuat dan mengelola sumber daya Manajer Keamanan AWS Jaringan (aturan, templat, kebijakan, cakupan, dan penerapan). Anda menetapkan satu atau lebih akun administrator, masing-masing dengan prioritas dari 1 hingga 10.

  • Akun anggota — Akun tempat Manajer Keamanan AWS Jaringan menemukan sumber daya, mengevaluasi status sinkronisasi, dan secara opsional memperbaiki konfigurasi yang tidak sinkron. AWS Manajer Keamanan Jaringan bertindak dalam akun anggota melalui peran terkait layanan. Untuk informasi selengkapnya, lihat Service-linked peran.

Anda dapat secara opsional mencakup setiap administrator ke subset akun, OU, dan jenis firewall. Gunakan kemampuan ini untuk mendelegasikan pengelolaan area tertentu ke tim yang berbeda.

AWS Network Security Manager adalah layanan regional. Anda membuat sumber daya dan penerapan per Wilayah tanpa dependensi lintas wilayah.

Service-linked peran

AWS Manajer Keamanan Jaringan menggunakan peran terkait layanan IAM yang diberi nama AWSServiceRoleForNetworkSecurityManager untuk bertindak di akun anggota organisasi Anda atas nama Anda. Peran ini mempercayai kepala network-security-manager.amazonaws.com layanan. Ini menggunakan kebijakan yang NetworkSecurityManagerServiceRolePolicy AWS dikelola.

AWS Network Security Manager membuat peran ini secara otomatis saat Anda mengaktifkan layanan, sehingga tidak ada pengaturan manual. Peran ini memungkinkan Manajer Keamanan AWS Jaringan mengelola perlindungan AWS WAF dan AWS Shield Advanced, menemukan sumber daya yang dilindungi melalui AWS Config, dan melakukan operasi lintas akun. Lihat informasi yang lebih lengkap di Menggunakan peran terkait layanan untuk AWS Manajer Keamanan Jaringan.