Habilita y usa la Evaluación de vulnerabilidades para AWS

Funciones de AWS

En AWS, un usuario administrador de AWS debe crear la cuenta de AWS que necesario para habilitar los análisis.

Para crear un rol de evaluación de vulnerabilidades en AWS, sigue estos pasos:

1. Con una cuenta de usuario administrativo de AWS, ve a la Página Roles de IAM en la consola de administración de AWS.
2. Selecciona lambda en el menú Service or Use Case.

3. Agrega las siguientes políticas de permisos:

   • AmazonSSMManagedInstanceCore
   • AWSLambdaBasicExecutionRole
   • AWSLambdaVPCAccessExecutionRole

4. Haz clic en Agregar permiso > Crear. Política intercalada para crear una nueva política de permisos:

   1. Abre la siguiente página y copia la política: Política de rol para la Evaluación de vulnerabilidades para AWS.
   2. En el Editor de JSON, pega la política.
   3. Especifica un nombre para la política.
   4. Guarda la política.

5. Abre la pestaña Relaciones de confianza.

6. Pega el siguiente objeto JSON y agrégalo a cualquier existente array de instrucciones:

   {
     "Version": "2012-10-17",
     "Statement": [
        {
              "Sid": "Statement1 or replace with a unique statementId",
              "Effect": "Allow",
              "Principal": {
                 "Service": "cloudformation.amazonaws.com"
              },
              "Action": "sts:AssumeRole"
        }
     ]
   }
   

7. Guarda el rol.

Deberás asignar este rol más adelante cuando instales la plantilla CloudFormation en AWS.

Recopila información sobre los recursos de AWS que se analizarán

Durante los pasos para habilitar la Evaluación de vulnerabilidades para AWS, puedes personalizar la configuración para analizar regiones específicas de AWS, etiquetas específicas que identifican los recursos de AWS y volúmenes de unidades de disco duro (HDD) (SC1 y ST1) específicos.

Es útil tener esta información disponible antes de configurar la Evaluación de vulnerabilidades para AWS.

Confirma que Security Command Center esté conectado a AWS

La evaluación de vulnerabilidades para el servicio de AWS requiere acceso al inventario de recursos de AWS que Cloud Asset Inventory mantiene cuando Security Command Center está conectado a AWS para la detección de vulnerabilidades.

Si aún no se estableció una conexión, debes configurarla cuando habilitas la Evaluación de vulnerabilidades para el servicio de AWS.

Para configurar una conexión, consulta Conéctate a AWS para detectar vulnerabilidades y evaluar riesgos.

Habilita la evaluación de vulnerabilidades para AWS en Security Command Center

La evaluación de vulnerabilidades para AWS debe habilitarse en Google Cloud en la a nivel de la organización.

1. Ve a la página Configuración en Security Command Center:

   Ir a la configuración

2. Selecciona la organización en la que necesitas habilitar la Evaluación de vulnerabilidades para AWS. Se abrirá la pestaña Servicios de la página Configuración.

3. En la tarjeta de servicio Evaluación de vulnerabilidades, haz clic en Administrar configuración. Se abrirá la página Evaluación de vulnerabilidades.

4. Selecciona la pestaña Amazon Web Services.

5. En el campo Estado en Habilitación de servicios, selecciona Habilitar.

6. En Conector de AWS, verifica que el estado muestre Se agregó el conector de AWS. Si el estado muestra No se agregó ningún conector de AWS, haz clic en Agregar conector de AWS. Completa los pasos que se indican en Conéctate a AWS para la detección de vulnerabilidades y la evaluación de riesgos antes de continuar con el siguiente paso.

7. Configura los parámetros de configuración de análisis para el procesamiento y el almacenamiento de AWS. Para cambiar el configuración predeterminada, haz clic en Edit scan settings. Para obtener información sobre cada opción, consulta Personaliza la configuración de análisis para el procesamiento y almacenamiento de AWS.

8. En Configuración de análisis, haz clic en Descargar plantilla de CloudFormation. Se descargará una plantilla JSON en tu estación de trabajo. Debes implementar la plantilla en cada cuenta de AWS que necesites analizar en busca de vulnerabilidades.

Personaliza la configuración de análisis para el procesamiento y almacenamiento de AWS

En esta sección, se describen las opciones disponibles para personalizar el análisis de los recursos de AWS. Estas opciones personalizadas se encuentran en Scan settings for AWS compute and storage cuando edites una Evaluación de vulnerabilidades para el análisis de AWS.

Implementa la plantilla de AWS CloudFormation

1. Ve a la plantilla de AWS CloudFormation. en la Consola de administración de AWS.
2. Haz clic en Pilas > Con recursos nuevos (estándar).
3. En la página Crear pila, selecciona Elegir una plantilla existente. y Sube un archivo de plantilla para subir la plantilla CloudFormation.
4. Una vez completada la carga, ingresa un nombre de pila único. No modifiques ningún otro parámetro de la plantilla.
5. Selecciona Especificar los detalles de la pila. Se abrirá la página Configure stack options.
6. En Permisos, selecciona el IAM Vulnerability Assessment Role. que creaste anteriormente.
7. Haz clic en Siguiente.
8. Marca la casilla de confirmación.
9. Haz clic en Enviar para implementar la plantilla. La pila tarda unos minutos. para comenzar a correr.

El estado de la implementación se muestra en la consola de AWS. Si la plantilla de CloudFormation no se implementa, consulta Solución de problemas.

Después de que se inicien los análisis, si se detectan vulnerabilidades, se generarán los resultados correspondientes y se mostrarán en la página Resultados de Security Command Center en la consola de Google Cloud.

Revisa los resultados en la consola

Puedes ver la Evaluación de vulnerabilidades para los resultados de AWS en la consola de Google Cloud. El rol de IAM mínimo que se requiere para ver los resultados es Visualizador de hallazgos del centro de seguridad (roles/securitycenter.findingsViewer).

Si deseas revisar la Evaluación de vulnerabilidades para los hallazgos de AWS en la consola de Google Cloud, sigue estos pasos: pasos:

Soluciona problemas

Si habilitaste el servicio de Evaluación de vulnerabilidades para AWS, pero no se ejecutan los análisis, verifica lo siguiente:

• Verifica que el conector de AWS esté configurado de forma correcta.
• Confirma que la pila de plantillas de CloudFormation se haya implementado por completo. Es el estado de la cuenta de AWS debe ser CREATION_COMPLETE.