Attivare e utilizzare Vulnerability Assessment per AWS

Ruoli AWS

In AWS, un utente amministrativo AWS deve creare l'account AWS necessario per attivare le analisi.

Per creare un ruolo di valutazione delle vulnerabilità in AWS:

1. Utilizzando un account utente amministrativo AWS, vai alla pagina Ruoli IAM nella Console di gestione AWS.
2. Seleziona lambda dal menu Service or Use Case.
3. Aggiungi i seguenti criteri di autorizzazione:
   • AmazonSSMManagedInstanceCore
   • AWSLambdaBasicExecutionRole
   • AWSLambdaVPCAccessExecutionRole
4. Fai clic su Aggiungi autorizzazione > Crea criterio inline per creare un nuovo criterio di autorizzazione:
   1. Apri la pagina seguente e copia il criterio: Criterio del ruolo per la valutazione delle vulnerabilità per AWS.
   2. In Editor JSON, incolla il criterio.
   3. Specifica un nome per il criterio.
   4. Salva il criterio.
5. Apri la scheda Relazioni di attendibilità.

6. Incolla il seguente oggetto JSON, aggiungendolo a qualsiasi array di istruzioni esistente:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Statement1 or replace with a unique statementId",
         "Effect": "Allow",
         "Principal": {
           "Service": "cloudformation.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

7. Salva il ruolo.

Assegnerai questo ruolo in un secondo momento quando installerai il modello CloudFormation su AWS.

Raccogli informazioni sulle risorse AWS da sottoporre a scansione

Durante la procedura per attivare la Valutazione delle vulnerabilità per AWS, puoi personalizzare la configurazione per eseguire la scansione di regioni AWS specifiche, tag specifici che identificano le risorse AWS e volumi di unità disco rigido (HDD) specifici (sia SC1 che ST1).

È utile avere queste informazioni disponibili prima di configurare la valutazione delle vulnerabilità per AWS.

Verifica che Security Command Center sia connesso ad AWS

Il servizio di valutazione delle vulnerabilità per AWS richiede l'accesso all'inventario delle risorse AWS gestito da Cloud Asset Inventory quando Security Command Center è connesso ad AWS per il rilevamento delle vulnerabilità.

Se una connessione non è già stabilita, devi configurarne una quando attivi il servizio di valutazione delle vulnerabilità per AWS.

Per configurare una connessione, consulta Connettersi ad AWS per il rilevamento delle vulnerabilità e la valutazione dei rischi.

Attivare la valutazione delle vulnerabilità per AWS in Security Command Center

Vulnerability Assessment for AWS deve essere abilitato su Google Cloud a livello di organizzazione.

1. Vai alla pagina Panoramica dei rischi in Security Command Center:

   Vai a Panoramica dei rischi

2. Seleziona l'organizzazione in cui vuoi attivare la valutazione delle vulnerabilità per AWS.

3. Fai clic su Impostazioni.

4. Nella scheda Valutazione delle vulnerabilità, fai clic su Gestisci impostazioni. Viene visualizzata la pagina Vulnerability Assessment (Valutazione delle vulnerabilità).

5. Seleziona la scheda Amazon Web Services.

6. Nella sezione Abilitazione del servizio, imposta il campo Stato su Attiva.

7. Nella sezione Connettore AWS, verifica che venga visualizzato lo stato Connettore AWS aggiunto. Se lo stato visualizzato è Nessun connettore AWS aggiunto, fai clic su Aggiungi connettore AWS. Completa i passaggi descritti in Connettersi ad AWS per il rilevamento delle vulnerabilità e la valutazione dei rischi prima di passare al passaggio successivo.

8. Configura le impostazioni di analisi per calcolo e archiviazione AWS. Per modificare la configurazione predefinita, fai clic su Modifica impostazioni di ricerca. Per informazioni su ogni opzione, consulta Personalizzare le impostazioni di analisi per calcolo e archiviazione AWS.

9. Nella sezione Impostazioni di scansione, fai clic su Scarica il modello CloudFormation. Un modello JSON viene scaricato sulla tuaworkstation. Devi eseguire il deployment del modello in ogni account AWS per cui devi eseguire la ricerca di vulnerabilità.

Personalizzare le impostazioni di scansione per calcolo e archiviazione AWS

Questa sezione descrive le opzioni disponibili per personalizzare la scansione delle risorse AWS. Queste opzioni personalizzate si trovano nella sezione Impostazioni di analisi per calcolo e archiviazione AWS quando modifichi una scansione della valutazione delle vulnerabilità per AWS.

Esegui il deployment del modello AWS CloudFormation

1. Vai alla pagina Modello AWS CloudFormation nella console di gestione AWS.
2. Fai clic su Pile > Con nuove risorse (standard).
3. Nella pagina Crea stack, seleziona Scegli un modello esistente e Carica un file modello per caricare il modello CloudFormation.
4. Al termine del caricamento, inserisci un nome univoco per lo stack. Non modificare nessun altro parametro nel modello.
5. Seleziona Specifica i dettagli della pila. Si apre la pagina Configura le opzioni dell'elenco filtri.
6. In Autorizzazioni, seleziona il IAM Vulnerability Assessment Role che hai creato in precedenza.
7. Fai clic su Avanti.
8. Seleziona la casella di conferma.
9. Fai clic su Invia per eseguire il deployment del modello. L'esecuzione dello stack richiede alcuni minuti.

Lo stato del deployment viene visualizzato nella console AWS. Se il deployment del modello CloudFormation non va a buon fine, consulta la sezione Risoluzione dei problemi.

Dopo l'avvio delle scansioni, se vengono rilevate vulnerabilità, i risultati corrispondenti vengono generati e visualizzati nella pagina Risultati di Security Command Center nella console Google Cloud.

Esaminare i risultati nella console

Puoi visualizzare i risultati di Valutazione delle vulnerabilità per AWS nella console Google Cloud. Il ruolo IAM minimo richiesto per visualizzare i risultati è Visualizzatore risultati Centro sicurezza (roles/securitycenter.findingsViewer).

Per esaminare i risultati della valutazione delle vulnerabilità per AWS nella console Google Cloud, segui questi passaggi:

Risoluzione dei problemi

Se hai attivato il servizio Vulnerability Assessment for AWS, ma le analisi non vengono eseguite, controlla quanto segue:

• Verifica che il connettore AWS sia configurato correttamente.
• Verifica che lo stack del modello CloudFormation sia stato disegnato completamente. Il suo stato nell'account AWS deve essere CREATION_COMPLETE.