AWS용 취약점 평가 사용 설정 및 사용

AWS 역할

AWS에서는 AWS 관리 사용자가 스캔을 사용 설정하는 데 필요한 AWS 계정을 만들어야 합니다.

AWS에서 취약점 평가 역할을 만들려면 다음 단계를 따르세요.

1. AWS 관리 사용자 계정을 사용하여 AWS Management Console에서 IAM 역할 페이지로 이동합니다.
2. Service or Use Case 메뉴에서 lambda를 선택합니다.
3. 다음 권한 정책을 추가합니다.
   • AmazonSSMManagedInstanceCore
   • AWSLambdaBasicExecutionRole
   • AWSLambdaVPCAccessExecutionRole
4. 권한 추가 > 인라인 정책 만들기를 클릭하여 새 권한 정책을 만듭니다.
   1. 다음 페이지를 열고 AWS의 취약점 평가를 위한 역할 정책을 복사합니다.
   2. JSON 편집기에 정책을 붙여넣습니다.
   3. 정책의 이름을 지정합니다.
   4. 정책을 저장합니다.
5. 트러스트 관계 탭을 엽니다.

6. 다음 JSON 객체를 붙여넣어 기존 문장 배열에 추가합니다.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Statement1 or replace with a unique statementId",
         "Effect": "Allow",
         "Principal": {
           "Service": "cloudformation.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   

7. 역할을 저장합니다.

나중에 AWS에 CloudFormation 템플릿을 설치할 때 이 역할을 할당합니다.

스캔할 AWS 리소스에 대한 정보 수집

AWS용 취약점 평가를 사용 설정하는 단계 중에 특정 AWS 리전, AWS 리소스를 식별하는 특정 태그, 특정하드 디스크 드라이브 (HDD) 볼륨(SC1과 ST1 모두)을 스캔하도록 구성을 맞춤설정할 수 있습니다.

AWS용 취약점 평가를 구성하기 전에 이 정보를 사용하면 도움이 됩니다.

Security Command Center가 AWS에 연결되어 있는지 확인

AWS용 취약점 평가 서비스는 Security Command Center가 취약점 감지를 위해 AWS에 연결되어 있을 때 Cloud 애셋 인벤토리가 유지 관리하는 AWS 리소스 인벤토리에 액세스해야 합니다.

아직 연결이 설정되지 않은 경우 AWS용 취약점 평가 서비스를 사용 설정할 때 연결을 설정해야 합니다.

연결을 설정하려면 취약점 감지 및 위험 평가를 위해 AWS에 연결을 참조하세요.

Security Command Center에서 AWS용 취약점 평가 사용 설정

조직 수준에서 Google Cloud에 AWS용 취약점 평가를 사용 설정해야 합니다.

1. Security Command Center의 위험 개요 페이지로 이동합니다.

   위험 개요로 이동

2. AWS용 취약점 평가를 사용 설정할 조직을 선택합니다.

3. 설정을 클릭합니다.

4. 취약점 평가 카드에서 설정 관리를 클릭합니다. 취약점 평가 페이지가 열립니다.

5. Amazon Web Services 탭을 선택합니다.

6. 서비스 사용 설정 섹션에서 상태 필드를 사용 설정으로 변경합니다.

7. AWS 커넥터 섹션에서 상태가 AWS 커넥터 추가됨으로 표시되는지 확인합니다. 상태가 추가된 AWS 커넥터 없음이 표시되면 AWS 커넥터 추가를 클릭합니다. 다음 단계로 진행하기 전에 취약점 감지 및 위험 평가를 위해 AWS에 연결의 단계를 완료합니다.

8. AWS 컴퓨팅 및 스토리지의 스캔 설정을 구성합니다. 기본 구성을 변경하려면 스캔 설정 수정을 클릭합니다. 각 옵션에 대한 자세한 내용은 AWS 컴퓨팅 및 스토리지의 스캔 설정 맞춤설정을 참고하세요.

9. 스캔 설정 섹션에서 CloudFormation 템플릿 다운로드를 클릭합니다. JSON 템플릿이 워크스테이션에 다운로드됩니다. 취약점을 스캔해야 하는 각 AWS 계정에 템플릿을 배포해야 합니다.

AWS 컴퓨팅 및 스토리지에 대한 스캔 맞춤설정

이 섹션에서는 AWS 리소스 스캔을 맞춤설정하는 데 사용할 수 있는 옵션에 대해 설명합니다. 이러한 커스텀 옵션은 AWS용 취약점 평가 스캔을 수정할 때 AWS 컴퓨팅 및 스토리지에 대한 스캔 설정 섹션 아래에 있습니다.

AWS CloudFormation 템플릿 배포

1. AWS Management Console에서 AWS CloudFormation 템플릿 페이지로 이동합니다.
2. 스택 > 새 리소스 포함 (표준)을 클릭합니다.
3. 스택 만들기 페이지에서 기존 템플릿 선택 및 템플릿 파일 업로드를 선택하여 CloudFormation 템플릿을 업로드합니다.
4. 업로드가 완료되면 고유한 스택 이름을 입력합니다. 템플릿의 다른 매개변수는 수정하지 마세요.
5. 스택 세부정보 지정을 선택합니다. 스택 옵션 구성 페이지가 열립니다.
6. 권한에서 이전에 만든 IAM Vulnerability Assessment Role을 선택합니다.
7. 다음을 클릭합니다.
8. 확인 체크박스를 선택합니다.
9. 제출을 클릭하여 템플릿을 배포합니다. 스택이 실행되기 시작하는 데 몇 분 정도 걸립니다.

배포 상태가 AWS 콘솔에 표시됩니다. CloudFormation 템플릿이 배포되지 않으면 문제 해결을 참고하세요.

스캔이 실행되기 시작한 후 취약점이 감지되면 해당 발견 항목이 생성되어 Google Cloud 콘솔의 Security Command Center 발견 항목 페이지에 표시됩니다.

콘솔에서 발견 항목 검토

Google Cloud 콘솔에서 AWS 발견 항목의 취약점 평가를 볼 수 있습니다. 발견 항목을 보려면 보안 센터 발견 항목 뷰어(roles/securitycenter.findingsViewer) 역할이 필요합니다.

Google Cloud 콘솔에서 AWS 발견 항목의 취약점 평가를 검토하려면 다음 단계를 따르세요.

문제 해결

AWS용 취약점 평가 서비스를 사용 설정했지만 스캔이 실행되지 않는 경우 다음을 확인하세요.

• AWS 커넥터가 올바르게 설정되었는지 확인합니다.
• CloudFormation 템플릿 스택이 완전히 배포되었는지 확인합니다. AWS 계정의 상태는 CREATION_COMPLETE이어야 합니다.