Utilizzo di un VPC condiviso con Runtime Monitoring

GuardDuty Il Runtime Monitoring supporta l'utilizzo di Amazon Virtual Private Cloud (Amazon VPC) condiviso per Account AWS chi appartiene alla stessa organizzazione in cui. AWS Organizations Puoi usare un VPC condiviso in due modi:

Come funziona

Anche le persone Account AWS che appartengono alla stessa organizzazione dell'account proprietario Amazon VPC condiviso possono condividere lo stesso endpoint Amazon VPC. Ciascuno degli account che utilizzano la stessa policy per gli endpoint di Amazon VPC viene chiamato AWS account partecipante dell'Amazon VPC condiviso associato.

L'esempio seguente mostra la politica degli endpoint VPC predefinita dell'account proprietario del VPC condiviso e dell'account partecipante. aws:PrincipalOrgIDMostrerà l'ID dell'organizzazione associato alla risorsa VPC condivisa. L'uso di questa politica è limitato agli account dei partecipanti presenti nell'organizzazione dell'account del proprietario.

{
    "Version": "2012-10-17",
    "Statement": [{
            "Action": "*",
            "Resource": "*",
            "Effect": "Allow",
            "Principal": "*"
        },
        {
            "Condition": {
                "StringNotEquals": {
                    "aws:PrincipalOrgID": "o-abcdef0123"
                }
            },
            "Action": "*",
            "Resource": "*",
            "Effect": "Deny",
            "Principal": "*"
        }
    ]
}

Con configurazione GuardDuty automatica degli agenti

Quando l'account proprietario del VPC condiviso abilita il monitoraggio del runtime e la configurazione automatica degli agenti per una qualsiasi delle risorse (Amazon EKS o (solo AWS Fargate Amazon ECS)), tutte le risorse condivise VPCs diventano idonee per l'installazione automatica dell'endpoint Amazon VPC condiviso e del gruppo di sicurezza associato nell'account proprietario del VPC condiviso. GuardDuty recupera l'ID dell'organizzazione associato all'Amazon VPC condiviso.

GuardDuty crea un endpoint Amazon VPC quando l'account proprietario del VPC condiviso o l'account partecipante ne hanno bisogno. Esempi di necessità di un endpoint Amazon VPC includono l' GuardDutyabilitazione, il monitoraggio del runtime, il monitoraggio del runtime EKS o il lancio di una nuova attività Amazon ECS-Fargate. Quando questi account abilitano il Runtime Monitoring e la configurazione automatizzata degli agenti per qualsiasi tipo di risorsa, GuardDuty creano un endpoint Amazon VPC e impostano la policy dell'endpoint con lo stesso ID dell'organizzazione dell'account proprietario del VPC condiviso. GuardDuty aggiunge un GuardDutyManaged tag e lo imposta true per l'endpoint Amazon VPC che lo crea. GuardDuty Se l'account proprietario di Amazon VPC condiviso non ha abilitato il monitoraggio del runtime o la configurazione automatica degli agenti per nessuna delle risorse, non GuardDuty imposterà la policy degli endpoint di Amazon VPC. Per informazioni sulla configurazione del Runtime Monitoring e sulla gestione automatica del security agent nell'account proprietario del VPC condiviso, consulta. Abilitazione del monitoraggio del GuardDuty runtime

Utilizzo con un agente gestito manualmente

Quando utilizzi un VPC condiviso con un agente gestito manualmente, verifica che non esista una policy esplicita sugli Deny endpoint che blocchi gli account che devono utilizzare il VPC condiviso. Ciò impedirà al Security Agent di inviare dati di telemetria a, con conseguente stato di copertura. GuardDuty Unhealthy Per configurare la politica degli endpoint, vedere. Example shared VPC endpoint policy

La copertura del runtime potrebbe non essere accurata in scenari come la mancanza di autorizzazioni per il VPC condiviso. È possibile monitorare continuamente la copertura delle risorse seguendo i passaggi relativi al tipo di risorsa. Revisione delle statistiche sulla copertura del runtime e risoluzione dei problemi

Per garantire la protezione continua del Runtime Monitoring delle risorse di elaborazione, GuardDuty consiglia di abilitare la configurazione automatizzata degli agenti per l'account proprietario del VPC condiviso e tutti gli account partecipanti per le tue risorse.

Prerequisiti per l'utilizzo di un VPC condiviso

Come parte della configurazione iniziale, esegui i seguenti passaggi se desideri diventare il proprietario del VPC condiviso: Account AWS

Prerequisiti specifici per il monitoraggio del runtime GuardDuty

L'elenco seguente fornisce i prerequisiti specifici per: GuardDuty