As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Como AWS O Network Security Manager funciona

Use o modelo de recursos do AWS Network Security Manager para projetar e gerenciar proteções de segurança de rede para recursos em uma única conta ou em várias contas em sua organização. Este capítulo explica os cinco tipos de recursos, como eles formam uma hierarquia e os principais conceitos que governam seu comportamento.

AWS Modelo de recursos do Network Security Manager

AWS O Network Security Manager usa cinco tipos de recursos organizados em uma hierarquia de composição:

Os recursos fazem referência uns aos outros de forma ascendente na hierarquia. As regras são usadas em modelos e políticas. Modelos, regras ou ambos são usados nas políticas. Um escopo faz referência aos recursos que as políticas protegem em uma implantação.

As seções a seguir descrevem cada tipo de recurso na hierarquia.

Regra — A unidade atômica da configuração de segurança da rede. Há dois tipos de regras: regras de inspeção de tráfego e regras de configuração de firewall. A inspeção de tráfego se concentra em como o serviço de segurança aborda o tráfego. Uma regra de configuração especifica as operações do sistema fora da inspeção de tráfego. A estrutura de uma regra varia de acordo com o tipo de firewall.

Modelo — Um grupo de regras ordenado e reutilizável para um único tipo de firewall. Use modelos para agrupar regras relacionadas e compartilhá-las em várias políticas. Os modelos são opcionais.

Política — combina um conjunto ordenado de modelos e regras com configurações de fiscalização para um tipo de firewall. Cada política tem uma prioridade (um número menor indica uma prioridade maior). Quando várias políticas protegem o mesmo recurso, a prioridade determina como os conflitos são resolvidos. Para regras de inspeção de tráfego, a prioridade determina a ordem na qual as regras são agregadas. Para regras de configuração de firewall, a prioridade determina qual configuração se aplica a cada recurso e suas políticas dentro do escopo.

Escopo — Uma seleção declarativa de onde as proteções se aplicam. Um escopo especifica quais tipos de recursos proteger e, opcionalmente, você pode filtrar recursos por tag ou atributo de configuração. No modo de várias contas, um escopo também especifica quais contas ou OUs devem ser incluídas ou excluídas. No modo de conta única, o escopo se aplica à própria conta. O modo de um escopo é fixo quando você o cria. Você não pode alternar um escopo entre os modos de várias contas e de conta única em nenhuma direção, portanto, um escopo de várias contas nunca pode se tornar um escopo de conta única ou vice-versa.

Implantação — vincula uma ou mais políticas a um escopo. A publicação de uma implantação ativa a fiscalização. AWS O Network Security Manager descobre recursos no escopo, calcula a configuração pretendida e, opcionalmente, corrige recursos fora de sincronia.

Para ver os limites de composição de recursos, consulteAWS Cotas do Network Security Manager.

AWS Ciclo de vida, fusão e sincronização de recursos do Network Security Manager

As seções a seguir explicam os comportamentos e os mecanismos que controlam como os recursos do AWS Network Security Manager operam depois que você os cria.

Ciclo de vida preliminar e ativo

Cada recurso do AWS Network Security Manager — incluindo regras, modelos, políticas, escopos e implantações — tem um status de Rascunho ou Ativo:

Por padrão, o AWS Network Security Manager cria recursos como Ativos. Para criar um recurso como Draft usando a API, defina o isPublished parâmetro como false na operação de criação ou atualização.

Quando você atualiza um recurso, os seguintes cenários se aplicam:

O hasPublishedVersion campo aparece na lista e recebe respostas. Esse campo informa se um recurso ativo publicado existe abaixo de um rascunho. Quando um recurso tem o status de Rascunho e hasPublishedVersion: true um rascunho pendente fica em cima de um recurso ativo ativo publicado e ativo.

Você não pode excluir um recurso ativo referenciado por outro recurso ativo.

Versionamento

Todos os recursos do AWS Network Security Manager, incluindo regras, modelos, políticas, escopos e implantações, podem ser versionados. Para criar uma versão de um recurso ativo, selecione o recurso, escolha Ação e, em seguida, escolha Criar instantâneo versionado. As versões não são criadas automaticamente em cada atualização.

Propriedades da versão principal:

Use versões para preservar as variantes de configuração desejadas. Para reverter um recurso, leia uma versão e atualize o recurso ativo com a configuração desejada da versão.

Priority-based fusão de políticas

Quando várias políticas protegem o mesmo recurso, o AWS Network Security Manager mescla suas configurações em um único resultado. Um número de prioridade mais baixo indica uma prioridade mais alta (a prioridade 1 tem precedência sobre a prioridade 2). Quando o AWS Network Security Manager mescla políticas que contêm regras de inspeção de tráfego, a prioridade determina a ordem na qual as regras são agregadas. Para regras de configuração de firewall, a política de maior prioridade determina qual configuração se aplica.

AWS O Network Security Manager avalia a prioridade em dois níveis, nesta ordem:

Você define a prioridade do administrador com o priority campo obrigatório na PutAdminAccount operação, um número inteiro de 1 a 10. Os valores de prioridade são exclusivos, portanto, dois administradores nunca compartilham uma prioridade e não é necessário desempate. Para obter mais informações, consulte a Referência da API do AWS Network Security Manager.

O resultado combinado de todas as políticas aplicáveis a um recurso é a configuração efetiva do firewall. AWS O Network Security Manager calcula essa configuração, a compara com a configuração real do recurso e relata quaisquer diferenças como status de sincronização.

Quando as políticas entram em conflito, o AWS Network Security Manager compara cada atributo e aplica o valor da política de maior prioridade. Se a política de prioridade mais alta não definir um atributo, o valor da política de prioridade mais baixa será aplicado. Um recurso que corresponde à configuração efetiva é IN_SYNC. Um recurso protegido por uma política de menor prioridade cujas configurações foram substituídas por uma política de maior prioridade é reportado como OUT_OF_SYNC para a implantação de menor prioridade. Esse é um comportamento esperado, não uma falha.

Descoberta de recursos com AWS Config

AWS O Network Security Manager descobre recursos protegidos em suas contas usando um gravador de AWS configuração Config vinculado ao serviço. Esse gravador é criado automaticamente em cada conta quando essa conta entra no escopo de uma implantação. Ao contrário do AWS Firewall Manager, você não precisa realizar nenhuma configuração adicional. AWS O uso do Config pelo AWS Network Security Manager não é cobrado do cliente do AWS Network Security Manager.

Principais características do gravador vinculado ao serviço:

Você não precisa habilitar ou configurar o AWS Config manualmente para que o AWS Network Security Manager funcione. O serviço processa a descoberta de recursos automaticamente após a publicação de uma implantação.

Sincronização e remediação

A fiscalização no AWS Network Security Manager é assíncrona e, eventualmente, consistente. Depois de publicar uma implantação ou quando um recurso é alterado, os seguintes estágios ocorrem:

Cada estágio é assíncrono. Consequências para seu fluxo de trabalho:

A remediação e a limpeza de recursos são configurações em nível de política. Você configura cada uma por política no policyConfiguration objeto.

Ambas resourcesCleanUp as configurações remediationEnabled e são padronizadas parafalse. AWS O Network Security Manager não corrige nem limpa recursos até que você habilite essas configurações. O policyConfiguration objeto também é válidowafConfig, o que se aplica às políticas do AWS WAF. Para obter mais informações, consulte a Referência da API do AWS Network Security Manager.

Quando um recurso está fora de sincronia, o status da sincronização inclui motivos fora de sincronia com detalhes por configuração que mostram os valores esperados em comparação com os valores reais. Os motivos estão organizados nas seguintes categorias:

Se a remediação estiver habilitada, mas o AWS Network Security Manager não conseguir corrigir um recursoissueType, o remediationIssues campo fornecerá uma message descrição do problema e uma correctiveAction sugestão de como resolvê-lo.

AWS O Network Security Manager não avalia configurações que ele não gerencia. Se um campo não aparecer em nenhuma regra de contribuição, o AWS Network Security Manager o ignorará durante a avaliação da sincronização.

Contas de administrador e membro

AWS O Network Security Manager usa um modelo de gerenciamento entre contas baseado em AWS Organizations:

Opcionalmente, você pode definir o escopo de cada administrador para um subconjunto de contas, OUs e tipos de firewall. Use esse recurso para delegar o gerenciamento de áreas específicas a equipes diferentes.

AWS O Network Security Manager é um serviço regional. Você cria recursos e implantações por região sem dependências entre regiões.

Service-linked papel

AWS O Network Security Manager usa uma função vinculada ao serviço IAM nomeada AWSServiceRoleForNetworkSecurityManager para atuar nas contas dos membros da sua organização em seu nome. Essa função confia no diretor network-security-manager.amazonaws.com de serviço. Ele usa a política NetworkSecurityManagerServiceRolePolicy AWS gerenciada.

AWS O Network Security Manager cria essa função automaticamente quando você ativa o serviço, portanto, não há configuração manual. A função permite que o AWS Network Security Manager gerencie as proteções AWS WAF e AWS Shield Advanced, descubra recursos protegidos por meio do AWS Config e realize operações entre contas. Para obter mais informações, consulte Usando funções vinculadas a serviços para AWS Gerente de segurança de rede.