Sicherheitslückenbewertung für AWS aktivieren und verwenden

AWS-Rollen

In AWS muss ein AWS-Administratornutzer das AWS-Konto erstellen, das Sie zum Aktivieren von Scans benötigen.

So erstellen Sie eine Rolle für die Sicherheitslückenbewertung in AWS:

1. Rufen Sie mit einem AWS-Administratorkonto in der AWS Management Console die Seite IAM Rollen auf.
2. Wählen Sie im Menü Service oder Anwendungsfall die Option lambda aus.
3. Fügen Sie die folgenden Berechtigungsrichtlinien hinzu:
   • AmazonSSMManagedInstanceCore
   • AWSLambdaBasicExecutionRole
   • AWSLambdaVPCAccessExecutionRole
4. Klicken Sie auf Berechtigung hinzufügen > Inline-Richtlinie erstellen, um eine neue Berechtigungsrichtlinie zu erstellen:
   1. Öffnen Sie die folgende Seite und kopieren Sie die Richtlinie: Rollenrichtlinie für die Sicherheitslückenbewertung für AWS und VM Bedrohungserkennung.
   2. Fügen Sie die Richtlinie in den JSON-Editor ein.
   3. Geben Sie einen Namen für die Richtlinie an.
   4. Speichern Sie die Richtlinie.
5. Öffnen Sie den Tab Vertrauensstellungen.

6. Fügen Sie das folgende JSON-Objekt ein und fügen Sie es einem vorhandenen Statement-Array hinzu:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Statement1 or replace with a unique statementId",
         "Effect": "Allow",
         "Principal": {
           "Service": "cloudformation.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

7. Speichern Sie die Rolle.

Sie weisen diese Rolle später zu, wenn Sie die CloudFormation-Vorlage in AWS installieren.

Informationen zu den zu scannenden AWS-Ressourcen erfassen

Während der Schritte zum Aktivieren der Sicherheitslückenbewertung für AWS können Sie die Konfiguration anpassen, um bestimmte AWS-Regionen, bestimmte Tags, die AWS-Ressourcen identifizieren, und bestimmte Festplattenlaufwerk-Volumes (HDD) (SC1 und ST1) zu scannen.

Es ist hilfreich, diese Informationen verfügbar zu haben, bevor Sie die Sicherheitslückenbewertung für AWS konfigurieren.

Prüfen, ob Security Command Center mit AWS verbunden ist

Für den Dienst „Sicherheitslückenbewertung für AWS“ ist Zugriff auf das Inventar der AWS-Ressourcen erforderlich, das von Cloud Asset Inventory verwaltet wird, wenn Security Command Center mit AWS verbunden ist.

Wenn noch keine Verbindung besteht, müssen Sie eine einrichten, wenn Sie den Dienst „Sicherheitslückenbewertung für AWS“ aktivieren.

Informationen zum Einrichten einer Verbindung finden Sie unter Verbindung zu AWS für die Konfiguration und Erfassung von Ressourcendaten herstellen.

Sicherheitslückenbewertung für AWS in Security Command Center aktivieren

Die Sicherheitslückenbewertung für AWS muss auf Organisationsebene für Google Cloud aktiviert sein.

1. Rufen Sie im Security Command Center die Seite Risikoübersicht auf:

   Zur Risikoübersicht

2. Wählen Sie die Organisation aus, in der Sie die Sicherheitslückenbewertung für AWS aktivieren möchten.

3. Klicken Sie auf Einstellungen.

4. Klicken Sie auf der Karte Vulnerability Assessment (Schwachstellenanalyse) auf Manage Settings (Einstellungen verwalten). Die Seite Vulnerability Assessment (Schwachstellenanalyse) wird geöffnet.

5. Wählen Sie den Tab Amazon Web Services aus.

6. Ändern Sie im Bereich Dienstaktivierung das Feld Status in Aktivieren.

7. Prüfen Sie im Bereich AWS-Connector, ob der Status AWS-Connector hinzugefügt lautet. Wenn der Status Kein AWS-Connector hinzugefügt lautet, klicken Sie auf AWS-Connector hinzufügen. Führen Sie die Schritte unter Verbindung zu AWS für Konfiguration und Erhebung von Ressourcendaten herstellen aus, bevor Sie mit dem nächsten Schritt fortfahren.

8. Konfigurieren Sie die Scaneinstellungen für AWS-Computing und ‑Speicher. Wenn Sie die Standardkonfiguration ändern möchten, klicken Sie auf Scaneinstellungen bearbeiten. Informationen zu den einzelnen Optionen finden Sie unter Scaneinstellungen für AWS-Computing und ‑Speicher anpassen.

9. Wenn Sie VM Threat Detection für AWS bereits aktiviert und die CloudFormation-Vorlage als Teil dieser Funktion bereitgestellt haben, überspringen Sie diesen Schritt. Klicken Sie im Bereich Scaneinstellungen auf CloudFormation-Vorlage herunterladen. Eine JSON-Vorlage wird auf Ihre Workstation heruntergeladen. Sie müssen die Vorlage in jedem AWS-Konto bereitstellen, das Sie auf Sicherheitslücken scannen müssen.

Scaneinstellungen für AWS-Computing und ‑Speicher anpassen

In diesem Abschnitt werden die Optionen zum Anpassen des Scans von AWS-Ressourcen beschrieben. Diese benutzerdefinierten Optionen finden Sie beim Bearbeiten eines Scans für die Sicherheitslückenbewertung für AWS im Abschnitt Scaneinstellungen für AWS-Computing und ‑Speicher.

AWS CloudFormation-Vorlage bereitstellen

Führen Sie diese Schritte mindestens sechs Stunden nach dem Erstellen eines AWS-Connectors aus.

Ausführliche Informationen zum Bereitstellen einer CloudFormation-Vorlage finden Sie in der AWS-Dokumentation unter Stack über die CloudFormation-Konsole erstellen.

1. Rufen Sie in der AWS Management Console die Seite AWS CloudFormation Template (AWS CloudFormation-Vorlage) auf.
2. Klicken Sie auf Stacks> Mit neuen Ressourcen (Standard).
3. Wählen Sie auf der Seite Stack erstellen die Option Vorhandene Vorlage auswählen und Vorlagendatei hochladen aus, um die CloudFormation-Vorlage hochzuladen.
4. Geben Sie nach Abschluss des Uploads einen eindeutigen Stack-Namen ein. Ändern Sie keine anderen Parameter in der Vorlage.
5. Wählen Sie Stack-Details angeben aus. Die Seite Stapeloptionen konfigurieren wird geöffnet.
6. Wählen Sie unter Berechtigungen die AWS-Rolle aus, die Sie zuvor erstellt haben.
7. Klicken Sie das Kästchen an, wenn Sie dazu aufgefordert werden.
8. Klicken Sie auf Senden, um die Vorlage bereitzustellen. Es dauert einige Minuten, bis der Stack ausgeführt wird.

Der Status der Bereitstellung wird in der AWS-Konsole angezeigt. Wenn die Bereitstellung der CloudFormation-Vorlage fehlschlägt, lesen Sie den Abschnitt Fehlerbehebung.

Wenn nach dem Starten der Scans Sicherheitslücken erkannt werden, werden die entsprechenden Ergebnisse generiert und auf der Seite Ergebnisse des Security Command Center in derGoogle Cloud -Konsole angezeigt.

Ergebnisse in der Console ansehen

Sie können die Ergebnisse der Sicherheitslückenbewertung für AWS in der Google Cloud -Konsole ansehen. Die IAM-Mindestrolle, die zum Aufrufen von Ergebnissen erforderlich ist, ist Sicherheitscenter-Ergebnisbetrachter (roles/securitycenter.findingsViewer).

So prüfen Sie die Ergebnisse der Sicherheitslückenbewertung für AWS in der Google Cloud Console:

Fehlerbehebung

Wenn Sie den Dienst „Vulnerability Assessment“ aktiviert haben, aber keine Scans ausgeführt werden, prüfen Sie Folgendes:

• Prüfen Sie, ob der AWS-Connector richtig eingerichtet ist.
• Prüfen Sie, ob der CloudFormation-Vorlagenstack vollständig bereitgestellt wurde. Der Status im AWS-Konto sollte CREATION_COMPLETE sein.