Implemente controles de acesso baseados em atributos de detetive para sub-redes públicas usando AWS Config

Alberto Menendez, Amazon Web Services

Resumo

As arquiteturas de rede de borda distribuída dependem da segurança de borda da rede que funciona junto com as cargas de trabalho em suas nuvens privadas virtuais ()VPCs. Isso proporciona uma escalabilidade sem precedentes em comparação com a abordagem centralizada mais comum. Embora a implantação de sub-redes públicas em contas de workload possa oferecer benefícios, ela também introduz novos riscos de segurança, pois aumenta a superfície de ataque. Recomendamos que você implante somente recursos do Elastic Load Balancing, como Application Load Balancers ou gateways NAT nas sub-redes públicas desses. VPCs O uso de balanceadores de carga e gateways NAT em sub-redes públicas dedicadas ajuda a implementar um controle refinado do tráfego de entrada e saída.

Recomendamos que você implemente controles preventivos e detectivos para limitar os tipos de recursos que podem ser implantados em sub-redes públicas. Para obter mais informações sobre como usar o controle de acesso por atributo (ABAC) para implementar controles preventivos em sub-redes públicas, consulte Implantação de controles de acesso preventivos por atributo para sub-redes públicas. Embora eficazes na maioria das situações, esses controles preventivos podem não abranger todos os casos de uso possíveis. Portanto, este padrão se baseia na abordagem ABAC e ajuda você a configurar alertas sobre recursos que não estão em conformidade e foram implantados em sub-redes públicas. A solução verifica se as interfaces de rede elásticas pertencem a um recurso não permitido em sub-redes públicas.

Para atingir esse objetivo, esse padrão usa regras personalizadas do AWS Config e ABAC. A regra personalizada processa a configuração de uma interface de rede elástica sempre que ela é criada ou modificada. Em linhas gerais, essa regra executa duas ações para determinar se a interface de rede está em conformidade:

Pré-requisitos e limitações

Pré-requisitos

Arquitetura

Arquitetura de destino

O diagrama ilustra o seguinte:

Lógica de avaliação da função do Lambda

O diagrama apresentado a seguir ilustra a lógica aplicada pela função do Lambda para avaliar a conformidade da interface de rede elástica.

Automação e escala

Esse padrão é uma solução de detecção. Você também pode complementá-lo com uma regra de correção para resolver automaticamente quaisquer recursos não conformes. Para obter mais informações, consulte Correção de recursos não compatíveis com regras. AWS Config

É possível escalar essa solução das seguintes maneiras:

Ferramentas

Práticas recomendadas

Para obter mais exemplos e melhores práticas para o desenvolvimento de AWS Config regras personalizadas, consulte o Repositório de AWS Config Regras oficial em GitHub.

Épicos

Recursos relacionados

AWS documentação

Outros AWS recursos

Mais informações

A seguir, apresentamos uma amostra de função do Lambda apenas para fins de demonstração.

import boto3
import json
import os

# Init clients
config_client = boto3.client('config')
ec2_client = boto3.client('ec2')

def lambda_handler(event, context):

    # Init values
    compliance_value = 'NOT_APPLICABLE'
    invoking_event = json.loads(event['invokingEvent'])
    configuration_item = invoking_event['configurationItem']
    
    status = configuration_item['configurationItemStatus']
    eventLeftScope = event['eventLeftScope']

    # First check if the event configuration applies. Ex. resource event is not delete
    if (status == 'OK' or status == 'ResourceDiscovered') and not eventLeftScope:
        compliance_value = evaluate_change_notification_compliance(configuration_item)
    
    
    config_client.put_evaluations(
       Evaluations=[
           {
               'ComplianceResourceType': invoking_event['configurationItem']['resourceType'],
               'ComplianceResourceId': invoking_event['configurationItem']['resourceId'],
               'ComplianceType': compliance_value,
               'OrderingTimestamp': invoking_event['configurationItem']['configurationItemCaptureTime']
           },
       ],
       ResultToken=event['resultToken'])
    
# Function with the logs to evaluate the resource
def evaluate_change_notification_compliance(configuration_item):
    is_in_scope = is_in_scope_subnet(configuration_item['configuration']['subnetId'])
    
    if (configuration_item['resourceType'] != 'AWS::EC2::NetworkInterface') or not is_in_scope:
        return 'NOT_APPLICABLE'

    else:
        alb_condition = configuration_item['configuration']['requesterId'] in ['amazon-elb']
        nlb_condition = configuration_item['configuration']['interfaceType'] in ['network_load_balancer']
        nat_gateway_condition = configuration_item['configuration']['interfaceType'] in ['nat_gateway']

        if alb_condition or nlb_condition or nat_gateway_condition:
            return 'COMPLIANT'
    return 'NON_COMPLIANT'

# Function to check if elastic network interface is in public subnet
def is_in_scope_subnet(eni_subnet):

    subnet_description = ec2_client.describe_subnets(
        SubnetIds=[eni_subnet]
    )

    for subnet in subnet_description['Subnets']:
        for tag in subnet['Tags']:
            if tag['Key'] == os.environ.get('TAG_KEY') and tag['Value'] == os.environ.get('TAG_VALUE'):
                return True
    
    return False