Kirim peringatan dari AWS Network Firewall ke saluran Slack

Venki Srivatsav dan Aromal Raj Jayarajan, Amazon Web Services

Ringkasan

Pola ini menjelaskan cara menerapkan firewall dengan menggunakan Amazon Web Services (AWS) Network Firewall dengan model penyebaran terdistribusi dan cara menyebarkan peringatan yang dihasilkan oleh AWS Network Firewall ke saluran Slack yang dapat dikonfigurasi. 

Standar kepatuhan seperti Payment Card Industry Data Security Standard (PCI DSS) mengharuskan Anda menginstal dan memelihara firewall untuk melindungi data pelanggan. Di AWS Cloud, virtual private cloud (VPC) dianggap sama dengan jaringan fisik dalam konteks persyaratan kepatuhan ini. Anda dapat menggunakan Network Firewall untuk memantau lalu lintas jaringan antara VPCs dan untuk melindungi beban kerja Anda yang berjalan di VPCs diatur oleh standar kepatuhan. Network Firewall memblokir akses atau menghasilkan peringatan ketika mendeteksi akses tidak sah dari orang lain VPCs di akun yang sama. Namun, Network Firewall mendukung sejumlah tujuan untuk mengirimkan peringatan. Tujuan ini mencakup bucket Amazon Simple Storage Service (Amazon S3), grup log Amazon, dan CloudWatch aliran pengiriman Amazon Data Firehose. Setiap tindakan lebih lanjut pada notifikasi ini memerlukan analisis offline dengan menggunakan Amazon Athena atau Amazon Kinesis. 

Pola ini menyediakan metode untuk menyebarkan peringatan yang dihasilkan oleh Network Firewall ke saluran Slack yang dapat dikonfigurasi untuk tindakan lebih lanjut dalam waktu dekat. Anda juga dapat memperluas fungsionalitas ke mekanisme peringatan lainnya seperti PagerDuty, Jira, dan email. (Kustomisasi tersebut berada di luar cakupan pola ini.) 

Prasyarat dan batasan

Prasyarat

Batasan

Arsitektur

Tumpukan teknologi target

Semua komponen kecuali untuk saluran Slack disediakan oleh CloudFormation template dan fungsi Lambda yang disediakan dengan pola ini (lihat bagian Kode).

Arsitektur target

Pola ini mengatur firewall jaringan terdesentralisasi dengan integrasi Slack. Arsitektur ini terdiri dari VPC dengan dua Availability Zones. VPC mencakup dua subnet yang dilindungi dan dua subnet firewall dengan titik akhir firewall jaringan. Semua lalu lintas yang masuk dan keluar dari subnet yang dilindungi dapat dipantau dengan membuat kebijakan dan aturan firewall. Firewall jaringan dikonfigurasi untuk menempatkan semua peringatan dalam ember S3. Bucket S3 ini dikonfigurasi untuk memanggil fungsi Lambda saat menerima put acara. Fungsi Lambda mengambil URL Slack yang dikonfigurasi dari Secrets Manager dan mengirimkan pesan notifikasi ke ruang kerja Slack.

Untuk informasi selengkapnya tentang arsitektur ini, lihat postingan blog AWS Model penerapan untuk AWS Network Firewall.

Alat

Layanan AWS

Kode

Kode untuk pola ini tersedia di GitHub, di repositori Network Firewall Slack Integration. Di src  folder repositori, Anda akan menemukan:

Untuk menggunakan file-file ini, ikuti instruksi di bagian selanjutnya.

Epik

#!/bin/bash
yum install httpd -y
systemctl start httpd
systemctl stop firewalld
cd /var/www/html
echo "Hello!! this is a NFW alert test page, 200 OK" > index.html

Source: 0.0.0.0/0
Destination 10.0.3.65/32 (private IP of the EC2 instance)
Action: Forward 

Protocol: HTTP
Source ip/port: Any / Any
Destination ip/port: Any /Any

Hello!! this is a NFW alert test page, 200 OK 

Sumber daya terkait

Informasi tambahan

CloudFormation parameter

Perilaku filter

Jika Anda belum mengonfigurasi filter apa pun di AWS Lambda, semua peringatan yang dihasilkan akan dikirim ke saluran Slack Anda. Sumber dan tujuan peringatan IPs yang dihasilkan dicocokkan dengan rentang CIDR yang Anda konfigurasikan saat Anda menerapkan templat. CloudFormation Jika kecocokan ditemukan, kondisi diterapkan. Jika sumber atau tujuan berada dalam rentang CIDR yang dikonfigurasi dan setidaknya salah satunya dikonfigurasi dengan kondisiinclude, peringatan akan dihasilkan. Tabel berikut memberikan contoh nilai CIDR, kondisi, dan hasil.