Activer et utiliser l'évaluation des failles pour AWS

Rôles AWS

Dans AWS, un utilisateur administratif AWS doit créer le compte AWS dont vous avez besoin pour activer les analyses.

Pour créer un rôle pour l'évaluation des failles dans AWS, procédez comme suit :

1. À l'aide d'un compte d'utilisateur administratif AWS, accédez à la page Rôles IAM dans la console AWS Management Console.
2. Dans le menu Service ou cas d'utilisation, sélectionnez lambda.
3. Ajoutez les règles d'autorisation suivantes :
   • AmazonSSMManagedInstanceCore
   • AWSLambdaBasicExecutionRole
   • AWSLambdaVPCAccessExecutionRole
4. Cliquez sur Ajouter une autorisation > Créer une règle intégrée pour créer une règle d'autorisation :
   1. Ouvrez la page suivante et copiez la stratégie : Stratégie de rôle pour l'évaluation des failles pour AWS et VM Threat Detection.
   2. Dans l'éditeur JSON, collez la stratégie.
   3. Spécifiez un nom pour la règle.
   4. Enregistrez la règle.
5. Ouvrez l'onglet Relations d'approbation.

6. Collez l'objet JSON suivant en l'ajoutant à n'importe quel tableau d'instructions existant :

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Statement1 or replace with a unique statementId",
         "Effect": "Allow",
         "Principal": {
           "Service": "cloudformation.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

7. Enregistrez le rôle.

Vous attribuerez ce rôle ultérieurement lorsque vous installerez le modèle CloudFormation sur AWS.

Collecter des informations sur les ressources AWS à analyser

Lorsque vous activez l'évaluation des failles pour AWS, vous pouvez personnaliser la configuration pour analyser des régions AWS spécifiques, des tags spécifiques qui identifient les ressources AWS et des volumes de disque dur (HDD) spécifiques (SC1 et ST1).

Il est utile de disposer de ces informations avant de configurer l'évaluation des failles pour AWS.

Vérifier que Security Command Center est connecté à AWS

Le service d'évaluation des failles pour AWS nécessite d'accéder à l'inventaire des ressources AWS que inventaire des éléments cloud gère lorsque Security Command Center est connecté à AWS.

Si aucune connexion n'est déjà établie, vous devez en configurer une lorsque vous activez le service d'évaluation des failles pour AWS.

Pour configurer une connexion, consultez Se connecter à AWS pour la collecte de données de configuration et de ressources.

Activer l'évaluation des failles pour AWS dans Security Command Center

L'évaluation des failles pour AWS doit être activée sur Google Cloud au niveau de l'organisation.

1. Accédez à la page Présentation des risques dans Security Command Center :

   Accéder à l'aperçu des risques

2. Sélectionnez l'organisation dans laquelle vous souhaitez activer l'évaluation des failles pour AWS.

3. Cliquez sur Paramètres.

4. Dans la fiche Évaluation des failles, cliquez sur Gérer les paramètres. La page Évaluation des failles s'ouvre.

5. Sélectionnez l'onglet Amazon Web Services.

6. Dans la section Activation du service, définissez le champ État sur Activer.

7. Dans la section Connecteur AWS, vérifiez que l'état indique Connecteur AWS ajouté. Si l'état indique Aucun connecteur AWS ajouté, cliquez sur Ajouter un connecteur AWS. Suivez les étapes décrites dans Se connecter à AWS pour la configuration et la collecte de données sur les ressources avant de passer à l'étape suivante.

8. Configurez les paramètres d'analyse pour le calcul et le stockage AWS. Pour modifier la configuration par défaut, cliquez sur Modifier les paramètres d'analyse. Pour en savoir plus sur chaque option, consultez Personnaliser les paramètres d'analyse pour le calcul et le stockage AWS.

9. Si vous avez déjà activé VM Threat Detection pour AWS et déployé le modèle CloudFormation dans le cadre de cette fonctionnalité, ignorez cette étape. Dans la section Paramètres d'analyse, cliquez sur Télécharger le modèle CloudFormation. Un modèle JSON est téléchargé sur votre poste de travail. Vous devez déployer le modèle dans chaque compte AWS que vous devez analyser pour détecter les failles.

Personnaliser les paramètres d'analyse pour le calcul et le stockage AWS

Cette section décrit les options disponibles pour personnaliser l'analyse des ressources AWS. Ces options personnalisées se trouvent dans la section Paramètres d'analyse pour le calcul et le stockage AWS lorsque vous modifiez une analyse de l'évaluation des failles pour AWS.

Déployer le modèle AWS CloudFormation

Effectuez ces étapes au moins six heures après avoir créé un connecteur AWS.

Pour en savoir plus sur le déploiement d'un modèle CloudFormation, consultez Créer une pile à partir de la console CloudFormation dans la documentation AWS.

1. Accédez à la page Modèle AWS CloudFormation dans la console AWS Management Console.
2. Cliquez sur Stacks > With new resources (standard) (Piles > Avec de nouvelles ressources (standard)).
3. Sur la page Créer une pile, sélectionnez Choisir un modèle existant et Importer un fichier de modèle pour importer le modèle CloudFormation.
4. Une fois l'importation terminée, saisissez un nom de pile unique. Ne modifiez aucun autre paramètre du modèle.
5. Sélectionnez Spécifier les détails de la pile. La page Configurer les options de la pile s'ouvre.
6. Sous Autorisations, sélectionnez le rôle AWS que vous avez créé précédemment.
7. Si vous y êtes invité, cochez la case pour confirmer.
8. Cliquez sur Envoyer pour déployer le modèle. Le démarrage de la pile prend quelques minutes.

L'état du déploiement s'affiche dans la console AWS. Si le modèle CloudFormation ne parvient pas à se déployer, consultez la section Dépannage.

Une fois les analyses lancées, si des failles sont détectées, les résultats correspondants sont générés et affichés sur la page Résultats de Security Command Center dans la consoleGoogle Cloud .

Examiner les résultats dans la console

Vous pouvez consulter les résultats de l'évaluation des failles pour AWS dans la console Google Cloud . Le rôle IAM minimal requis pour afficher les résultats est Lecteur de résultats du centre de sécurité (roles/securitycenter.findingsViewer).

Pour examiner les résultats de l'évaluation des failles pour AWS dans la console Google Cloud , procédez comme suit :

Dépannage

Si vous avez activé le service d'évaluation des failles, mais que les analyses ne sont pas en cours d'exécution, vérifiez les points suivants :

• Vérifiez que le connecteur AWS est correctement configuré.
• Vérifiez que la pile du modèle CloudFormation a été déployée complètement. Son état dans le compte AWS doit être CREATION_COMPLETE.