View a markdown version of this page

Connect agen ke sumber daya VPC pribadi - Agen Keamanan AWS
Untuk menambahkan VPC di Ruang AgenIzin peran layanan ruang agen yang diperlukanUntuk memilih konfigurasi VPC tertentu untuk pengujian penetrasi di aplikasi web Agen KeamananMenjalankan uji penetrasi terhadap sumber daya VPC di akun AWS lain

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Connect agen ke sumber daya VPC pribadi

Jika aplikasi yang ingin Anda jalankan uji penetrasi tidak tersedia di internet publik, Anda perlu menyediakan AWS Security Agent dengan konfigurasi VPC. AWS Security Agent akan menggunakan konfigurasi VPC ini, termasuk VPC, subnet, dan grup keamanan, untuk mengakses aplikasi.

catatan

Saat menguji titik akhir dalam VPC pribadi, hanya titik akhir yang menyelesaikan IP dalam rentang IP pribadi yang diketahui yang diizinkan (lihat blok CIDR VPC untuk informasi lebih lanjut). Rentang IPv4 dan IPv6 berikut diperbolehkan:

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
fd00::/8
catatan

Saat menghubungkan ke subnet, AWS Security Agent akan membuat ENI (Elastic Network Interface) di subnet yang dikonfigurasi untuk pengujian penetrasi. ENI ini tidak memiliki alamat IP publik terkait, yang berarti tidak dapat berkomunikasi dengan VPC Internet Gateways di subnet publik. Jika tes penetrasi Anda memerlukan akses internet terbuka, silakan gunakan subnet pribadi dengan VPC NAT Gateway terkait sebagai gantinya

Anda memberikan AWS Security Agent akses umum ke VPC dari AWS Management Console. Di aplikasi web Agen Keamanan, pengguna memilih konfigurasi spesifik untuk pengujian penetrasi.

Untuk menambahkan VPC di Ruang Agen

  1. Arahkan ke halaman ikhtisar Ruang Agen

  2. Pilih Tindakan dan kemudian Edit konfigurasi uji penetrasi

  3. Di bawah judul VPC, tentukan grup VPC, Subnet, dan Keamanan

Anda dapat menambahkan hingga 5 VPC.

Izin peran layanan ruang agen yang diperlukan

Untuk menjalankan pengujian penetrasi dengan VPC, peran layanan ruang agen Anda harus menyertakan izin berikut:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeNetworkInterfaceAttribute",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeVpcs",
        "ec2:ModifyNetworkInterfaceAttribute",
        "ec2:DeleteNetworkInterface"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ec2:CreateNetworkInterfacePermission",
      "Resource": "arn:aws:ec2:{{region}}:{{accountId}}:network-interface/*",
      "Condition": {
        "ArnEquals": {
          "ec2:Subnet": [
            "arn:aws:ec2:{{region}}:{{accountId}}:subnet/[[subnetIds]]"
          ]
        }
      }
    }
  ]
}

Untuk memilih konfigurasi VPC tertentu untuk pengujian penetrasi di aplikasi web Agen Keamanan

  1. Arahkan ke halaman ikhtisar Tes Penetrasi

  2. Pilih tes penetrasi yang Anda perlukan untuk menambahkan konfigurasi VPC, lalu pilih Ubah detail pentest

  3. Pilih Berikutnya untuk mencapai bagian Sumber Daya VPC

  4. Pilih grup VPC, Subnet, dan Keamanan

  5. Pilih Berikutnya untuk mencapai bagian terakhir dan Simpan tes penetrasi

catatan

Cross-account pengujian penetrasi saat ini didukung untuk sumber daya VPC (subnet dan grup keamanan) yang dibagikan menggunakan AWS Resource Access Manager. Rahasia Secrets Manager dan fungsi Lambda yang digunakan untuk kredensi autentikasi harus dikonfigurasi di akun AWS yang sama dengan penyiapan AWS Security Agent Anda.

Menjalankan uji penetrasi terhadap sumber daya VPC di akun AWS lain

Anda dapat menjalankan pengujian penetrasi terhadap sumber daya VPC yang dibagikan dengan akun Anda menggunakan AWS Resource Access Manager. Kedua akun harus menjadi bagian dari AWS Organization yang sama.

  1. (Opsional) Aktifkan berbagi sumber daya otomatis untuk organisasi AWS Anda

aws ram enable-sharing-with-aws-organization

  1. Menggunakan kredensi dari akun AWS yang memiliki sumber daya VPC, berbagi subnet dan sumber daya grup keamanan dengan akun pemilik pengujian penetrasi

aws ram create-resource-share \
    --name SharePentestResources \
    --resource-arns <subnet ARN> <security group ARN> \
    --principals <penetration test owner account ID>

  1. Arahkan ke halaman ikhtisar Ruang Agen

  2. Pilih Tes Penetrasi dan temukan nama peran Layanan

  3. Verifikasi bahwa peran IAM memberikan akses ke sumber daya VPC bersama

  4. Pilih Tindakan dan kemudian Edit konfigurasi uji penetrasi

  5. Di bawah judul VPC, tentukan grup VPC, Subnet, dan Keamanan bersama dan simpan konfigurasi yang diperbarui.

  6. Arahkan ke halaman ikhtisar Tes Penetrasi di aplikasi web AWS Security Agent

  7. Pilih tes penetrasi yang Anda perlukan untuk menambahkan konfigurasi VPC, lalu pilih Ubah detail pentest

  8. Perbarui tes penetrasi untuk menggunakan sumber daya VPC bersama