Sicherheitslückenbewertung für AWS aktivieren und verwenden

AWS-Rollen

In AWS muss ein AWS-Administrator das AWS-Konto erstellen, das Sie zum Aktivieren von Scans benötigen.

So erstellen Sie eine Rolle für die Sicherheitslückenbewertung in AWS:

1. Rufen Sie mit einem AWS-Administratorkonto die Seite IAM-Rollen in der AWS-Managementkonsole auf.
2. Wählen Sie im Menü Service or Use Case die Option lambda aus.
3. Fügen Sie die folgenden Berechtigungsrichtlinien hinzu:
   • AmazonSSMManagedInstanceCore
   • AWSLambdaBasicExecutionRole
   • AWSLambdaVPCAccessExecutionRole
4. Klicken Sie auf Berechtigung hinzufügen > Inline-Richtlinie erstellen, um eine neue Berechtigungsrichtlinie zu erstellen:
   1. Öffnen Sie die folgende Seite und kopieren Sie die Richtlinie: Rollenrichtlinie für die Sicherheitslückenbewertung für AWS.
   2. Fügen Sie die Richtlinie in den JSON-Editor ein.
   3. Geben Sie einen Namen für die Richtlinie an.
   4. Speichern Sie die Richtlinie.
5. Öffnen Sie den Tab Vertrauensstellungen.

6. Fügen Sie das folgende JSON-Objekt ein und fügen Sie es einem vorhandenen Statement-Array hinzu:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Statement1 or replace with a unique statementId",
         "Effect": "Allow",
         "Principal": {
           "Service": "cloudformation.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

7. Speichern Sie die Rolle.

Sie weisen diese Rolle später zu, wenn Sie die CloudFormation-Vorlage in AWS installieren.

Informationen zu den zu scannenden AWS-Ressourcen erfassen

Während der Schritte zum Aktivieren der Sicherheitslückenbewertung für AWS können Sie die Konfiguration anpassen, um bestimmte AWS-Regionen, bestimmte Tags, die AWS-Ressourcen identifizieren, und bestimmte Festplattenvolumes (SC1 und ST1) zu scannen.

Es ist hilfreich, diese Informationen zur Verfügung zu haben, bevor Sie die Sicherheitslückenbewertung für AWS konfigurieren.

Prüfen, ob Security Command Center mit AWS verbunden ist

Für die Sicherheitslückenbewertung für AWS-Dienste ist Zugriff auf das Inventar der AWS-Ressourcen erforderlich, das von Cloud Asset Inventory verwaltet wird, wenn Security Command Center zur Erkennung von Sicherheitslücken mit AWS verbunden ist.

Wenn noch keine Verbindung besteht, müssen Sie eine einrichten, wenn Sie den Dienst „Sicherheitslückenbewertung für AWS“ aktivieren.

Informationen zum Einrichten einer Verbindung finden Sie unter Verbindung zu AWS für die Erkennung von Sicherheitslücken und die Risikobewertung herstellen.

Sicherheitslückenbewertung für AWS im Security Command Center aktivieren

Die Sicherheitslückenbewertung für AWS muss in Google Cloud auf Organisationsebene aktiviert sein.

1. Rufen Sie im Security Command Center die Seite Risikoübersicht auf:

   Zur Risikoübersicht

2. Wählen Sie die Organisation aus, für die Sie die Sicherheitslückenbewertung für AWS aktivieren möchten.

3. Klicken Sie auf Einstellungen.

4. Klicken Sie auf der Karte Sicherheitsrisikobewertung auf Einstellungen verwalten. Die Seite Sicherheitsrisikobewertung wird geöffnet.

5. Wählen Sie den Tab Amazon Web Services aus.

6. Ändern Sie im Bereich Dienstaktivierung das Feld Status in Aktivieren.

7. Prüfen Sie im Bereich AWS-Connector, ob der Status AWS-Connector hinzugefügt lautet. Wenn der Status Kein AWS-Connector hinzugefügt lautet, klicken Sie auf AWS-Connector hinzufügen. Führen Sie die Schritte unter Mit AWS verbinden, um Sicherheitslücken zu erkennen und Risiken zu bewerten aus, bevor Sie mit dem nächsten Schritt fortfahren.

8. Konfigurieren Sie die Scaneinstellungen für AWS-Computing und ‑Speicher. Wenn Sie die Standardkonfiguration ändern möchten, klicken Sie auf Scaneinstellungen bearbeiten. Informationen zu den einzelnen Optionen finden Sie unter Scaneinstellungen für AWS-Computing und ‑Speicher anpassen.

9. Klicken Sie im Bereich Scan-Einstellungen auf CloudFormation-Vorlage herunterladen. Auf Ihre Workstation wird eine JSON-Vorlage heruntergeladen. Sie müssen die Vorlage in jedem AWS-Konto bereitstellen, das Sie auf Sicherheitslücken prüfen möchten.

Scaneinstellungen für AWS-Computing und ‑Speicher anpassen

In diesem Abschnitt werden die Optionen beschrieben, mit denen Sie den Scan von AWS-Ressourcen anpassen können. Diese benutzerdefinierten Optionen finden Sie im Abschnitt Scaneinstellungen für AWS-Computing und ‑Speicher, wenn Sie einen Scan für die Sicherheitslückenbewertung für AWS bearbeiten.

AWS CloudFormation-Vorlage bereitstellen

1. Rufen Sie in der AWS-Managementkonsole die Seite AWS CloudFormation-Vorlage auf.
2. Klicken Sie auf Stacks > Mit neuen Ressourcen (Standard).
3. Wählen Sie auf der Seite Stack erstellen die Option Vorhandene Vorlage auswählen und dann Vorlagendatei hochladen aus, um die CloudFormation-Vorlage hochzuladen.
4. Geben Sie nach Abschluss des Uploads einen eindeutigen Stacknamen ein. Ändern Sie keine anderen Parameter in der Vorlage.
5. Wählen Sie Stapeldetails angeben aus. Die Seite Stapeloptionen konfigurieren wird geöffnet.
6. Wählen Sie unter Berechtigungen die IAM Vulnerability Assessment Role aus, die Sie zuvor erstellt haben.
7. Klicken Sie auf Weiter.
8. Setzen Sie ein Häkchen in das Kästchen für die Bestätigung.
9. Klicken Sie auf Senden, um die Vorlage bereitzustellen. Die Ausführung des Stacks dauert einige Minuten.

Der Status der Bereitstellung wird in der AWS-Konsole angezeigt. Wenn die Bereitstellung der CloudFormation-Vorlage fehlschlägt, lesen Sie den Hilfeartikel Fehlerbehebung.

Wenn nach Beginn der Scans Sicherheitslücken erkannt werden, werden die entsprechenden Ergebnisse generiert und in der Google Cloud Console auf der Seite Ergebnisse des Security Command Center angezeigt.

Ergebnisse in der Console ansehen

Sie können die Ergebnisse der Sicherheitsrisikobewertung für AWS in der Google Cloud Console einsehen. Die Mindestanforderung für die Rolle für den Zugriff auf Ergebnisse ist Sicherheitscenter-Ergebnisbetrachter (roles/securitycenter.findingsViewer).

So rufen Sie die Ergebnisse der Sicherheitslückenbewertung für AWS in der Google Cloud Console auf:

Fehlerbehebung

Wenn Sie den Dienst „Sicherheitslückenbewertung für AWS“ aktiviert haben, aber keine Scans ausgeführt werden, prüfen Sie Folgendes:

• Prüfen Sie, ob der AWS-Connector richtig eingerichtet ist.
• Prüfen Sie, ob der CloudFormation-Vorlagenstapel vollständig bereitgestellt wurde. Der Status im AWS-Konto sollte CREATION_COMPLETE sein.