Группа безопасности в системе отопления: подробная инструкция по выбору, монтажу и подключению к котлу и системе, сбору своими руками, принцип работы и цены

Вы должны позвонить в Strada

Вы должны позвонить в Strada, чтобы получить все необходимые услуги на дому. 833-539-7800 Или свяжитесь с нами через Интернет ИЛИ назначьте встречу самостоятельно с помощью нашего онлайн-инструмента планирования.

(833) 539-7800

Назначить встречу

Анализ устаревших правил группы безопасности с использованием бессерверной архитектуры

Безопасность является главным приоритетом для AWS и клиентов, выполняющих рабочие нагрузки в AWS. В предыдущем посте «10 основных элементов безопасности, которые необходимо улучшить в вашей учетной записи AWS» были рассмотрены основные элементы безопасности, на которые клиенты AWS должны обратить особое внимание, если они хотят улучшить свою безопасность.

Первым в списке стоит необходимость управления сетевой безопасностью. Основным методом является защита сетевого доступа к серверу или службе при их подключении к сети. В локальном сценарии вы должны использовать брандмауэр или аналогичную технологию, чтобы ограничить доступ к сети только утвержденными IP-адресами, портами и протоколами. Группы безопасности, списки контроля доступа к сети (NACL) и сетевой брандмауэр AWS обеспечивают функциональные возможности сетевой безопасности в AWS. Наличие устаревших правил группы безопасности, настроенных в функциях и службах сетевой безопасности, делает вашу сеть доступной для Интернета и повышает уязвимость ваших приложений.

В этом посте мы рассмотрим, как можно анализировать устаревшие правила в группах безопасности и удалять их на основе показателей использования и продолжительности. Мы также рассмотрим бессерверное решение, использующее Amazon Simple Storage Service (Amazon S3), AWS Glue и журналы потоков VPC, а также визуализируем результаты в Amazon QuickSight. Это решение поможет проанализировать журналы потоков VPC и связать их с определенным правилом группы безопасности. Он также отслеживает использование с течением времени, поэтому можно легко отслеживать часто используемые правила, а также очищать устаревшие.

Рекомендации для групп безопасности

При работе с группами безопасности следует следовать следующим рекомендациям:

• Пересматривайте правила не реже одного раза в шесть месяцев. Устаревшие правила могут привести к уязвимостям в системе безопасности. Настройте группы безопасности только с правилами, необходимыми для рабочих нагрузок. Удалите неиспользуемые правила. (PCI DSS 1.1.7)
• Включите только службы, протоколы и процедуры, необходимые для работы системы. (PCI DSS 2.2.2)
• Отслеживайте создание или удаление групп безопасности: этот передовой метод работает рука об руку с первыми двумя. Всегда следует отслеживать попытки создания, изменения и удаления групп безопасности. (СНГ AWS Foundations 3.10)
• Группа безопасности VPC по умолчанию должна запрещать входящий и исходящий трафик. Для настраиваемых групп безопасности не игнорируйте правила исходящего или исходящего трафика: ограничивайте исходящий доступ только теми пунктами назначения, которые необходимы. Например, в трехуровневом веб-приложении уровень приложения, вероятно, не должен иметь неограниченный доступ к Интернету. Поэтому настройте группу безопасности, чтобы разрешить доступ только к тем хостам или подсетям, которые необходимы для правильного функционирования приложения. (PCI DSS 1.3.4)
• Ограничьте диапазоны входящих или входящих портов, которые доступны: Ограничьте порты, открытые в группе безопасности, только теми, которые необходимы для правильной работы приложения. Если открыты большие диапазоны портов, вы можете столкнуться с любыми уязвимостями или непреднамеренным доступом к службам. Это особенно важно для приложений с высоким риском. (CIS AWS Foundations 4.1, 4.2) (PCI DSS 1.2.1, 1.3.2)
• Ограничить изменение только авторизованными ролями: ограничить количество ролей, имеющих право изменять группы безопасности. (PCI DSS 7.2.1)

Архитектура

Решение предполагает, что журналы потоков VPC включены и созданы с использованием Amazon S3 в качестве типа назначения. Это основано на бессерверной архитектуре, которая использует AWS Step Functions для запуска четырех заданий Glue Job с запланированным интервалом cron. Первое задание Glue анализирует все группы безопасности, присутствующие в учетной записи, и сохраняет их в таблице Amazon DynamoDB. Второе задание Glue Job запускает запросы Amazon Athena для анализа журналов потоков VPC, хранящихся в корзине S3. Третье задание Glue вычисляет показатели использования правил в группе безопасности и сохраняет результаты в другой таблице DynamoDB. Проанализированные данные визуализируются в QuickSight для создания тепловых карт для определения часто используемых портов/протоколов.

Наконец, четвертое задание Glue используется для отправки уведомления по электронной почте с помощью клиента Amazon Simple Email Service (Amazon SES) с показателями использования правила группы безопасности. Вы можете удалить эти неиспользуемые правила группы безопасности, чтобы соответствовать требованиям соответствия. Эта архитектура показана на следующем рисунке.

Рисунок 1. Бессерверная архитектура для определения неиспользуемых правил группы безопасности

Созданы две таблицы DynamoDB. В первой таблице (sg-analysis-rules-data) хранятся существующие группы безопасности и информация о правилах (идентификатор группы безопасности, имя, порт, протокол). Во второй таблице (sg-analysis-rules-usage) хранятся счетчики использования. Он содержит информацию об идентификаторе правила группы безопасности, идентификаторе группы безопасности, протоколе, направлении потока, последнем использовании и подсчете количества раз, когда правило использовалось.

На следующем рисунке показана визуализация правил групп безопасности в QuickSight. В этом примере мы отфильтровали данные журнала потоков за месяц. На снимке экрана показано представление тепловой карты правил группы безопасности на основе направления потока или количества использований. Плотность цвета увеличивается в зависимости от количества использований. В следующем примере мы видим, что идентификатор правила входа (sgr-0a2c6a2a1b919ed46) с количеством использований 244 имеет плотность цвета, которая отличает его от других правил группы безопасности, таких как sgr-04759.165217dbcc3b (вход) и sgr-01e3d80c29348220d (исход).

Рисунок 2: Визуализация различной плотности цвета правил группы безопасности в зависимости от количества их использования

Обзор решения

Развертывание нашего решения состоит из пошаговой функции (с определением шаблона пяти заданий клея) и визуализации QuickSight, состоящей из таких компонентов, как набор данных, анализы и информационная панель.

Код для развертывания решения можно найти в репозитории GitHub.

Предпосылки

• Активируйте выпуск QuickSight Standard или Enterprise. После активации вы должны получить ARN пользователя QuickSight, чтобы были предоставлены необходимые разрешения для панели управления. Чтобы получить ARN пользователя QuickSight, убедитесь, что вы активировали учетную запись пользователя QuickSight, а затем выполните следующую команду в AWS CloudShell, заменив <идентификатор вашей учетной записи> на идентификатор учетной записи AWS и <ваш регион> на регион, в котором пользователь QuickSight создано.

aws quicksight list-users —aws-account-id <идентификатор вашей учетной записи> —namespace default —region <ваш регион>

• Создайте коннектор Athena–DynamoDB, выполнив шаги, перечисленные в разделе «Коннектор DynamoDB» семинара AWS Athena. Он будет использоваться для источника данных QuickSight и добавит таблицу DynamoDB с правилами использования в качестве источника данных.

Развертывание стека CloudFormation

• Войдите в свою учетную запись AWS. Убедитесь, что у вас есть права на выполнение этих шагов.
• Создайте корзину S3 с уникальным именем для хранения файлов кода для заданий Glue (BUCKET_NAME). В нем должны быть соответствующие папки для скриптов и библиотек (как показано на следующем рисунке).

Рис. 3. Пример корзины S3 с настройкой папок

• Загрузите все скрипты из папки скриптов в репозиторий и библиотеки (AWS Data Wrangler и Boto3) в корзину в соответствующих папках.
• Перейдите к AWS CloudFormation. Запустите стек CloudFormation, используя шаблон sg_rule_analysis.yaml из репозитория GitHub.
• Укажите уникальное имя стека для SecurityGroupsRulesAnalysisStack-01.
• Укажите значения входных параметров для quicksightUserArn (из шага 1 в разделе «Предварительные требования» выше), libraryLocation и scriptsLocation.

Рис. 4. Снимок имени и параметров стека CloudFormation Template

• Добавьте теги Name=SecurityGroupsRulesAnalysis-Stack и Purpose=SecurityGroupsRulesAnalysis. Затем выберите Далее.
• Просмотрите параметры стека, выберите необходимую роль AWS Identity and Access Management (IAM), подтвердите создание ресурсов и нажмите «Создать стек».

Визуализация в QuickSight

• Доступ к сервису QuickSight из консоли AWS.
• Начните с создания нового набора данных. Выберите Наборы данных на панели навигации слева, а затем выберите Новый набор данных.

Рис. 5. Параметр «Наборы данных» на панели навигации

• Чтобы создать новый профиль подключения Athena, выполните следующие действия:
  • В разделе ИЗ НОВЫХ ИСТОЧНИКОВ ДАННЫХ выберите карту источника данных Athena .
  • В поле Имя источника данных введите описательное имя.
  • Для рабочей группы Athena выберите свою рабочую группу ( основная) .
  • Выберите  Подтвердить подключение , чтобы проверить подключение. В нем должно быть написано «Проверено» вместе с сообщением «SSL включен».
  • Выберите Создать источник данных .

Рисунок 6: Добавление нового источника данных Athena и проверка подключения

• Теперь выберите каталог, который был создан для соединителя DynamoDB в шагах предварительных требований.
• Выберите таблицу DynamoDB (sg-analysis-rules-usage), чтобы создать визуализацию. Это было бы создано как часть пошаговой функции.

Рис. 7. Выбор таблицы sg-analysis-rules-usage из каталога DynamoDB

• Выберите один из вариантов, если вы хотите кэшировать данные с помощью сверхбыстрого параллельного механизма вычислений в памяти (SPICE) Quicksight или напрямую запрашивать данные. Прямой запрос даст вам возможность просматривать данные в реальном времени в DynamoDB, но производительность и стоимость могут быть неоптимальными, поскольку они не кэшируются. Выберите Визуализировать .

Рисунок 8: Завершение создания набора данных для визуализации

• Выберите визуальный тип тепловой карты, выберите sg_id в качестве измерения строки, used_times в качестве значения и flow_direction в качестве измерения столбца. Это создаст визуализацию с данными из таблицы использования правил.

Рис. 9. Выбор визуального типа тепловой карты и выбор полей для различных измерений

• Добавьте дополнительные фильтры для визуализации правил на основе использования, протокола или направления потока. Например, ниже добавлены два фильтра для просмотра правил «входа», которые использовались менее 500 раз.

Рисунок 10. Добавление дополнительных фильтров для визуализации правил

Очистить

Следуйте этим инструкциям, чтобы очистить подготовленные ресурсы. За оставление ресурсов, которые вам больше не нужны, в вашем аккаунте AWS может взиматься дополнительная плата. Выполнение этих шагов приведет к удалению бессерверной инфраструктуры, созданной в рамках развертывания решения, обсуждаемого в этом посте.

aws cloudformation delete-stack --stack-name SecurityGroupsRulesAnalysisStack-01

Вы также можете удалить стек с помощью консоли CloudFormation:

• Откройте консоль CloudFormation.
• На странице Stacks в консоли CloudFormation выберите стек (SecurityGroupsRulesAnalysisStack-01) для удаления.
• В области сведений о стеке выберите Удалить.
• При появлении запроса выберите Удалить стек.

Заключение

В этом посте мы показали, как определить неиспользуемые правила группы безопасности, присутствующие в учетной записи AWS, используя бессерверную архитектуру на основе Step Functions и AWS Glue Jobs. Решение обеспечивает визуализацию метрики использования в QuickSight, а также отправляет автоматические уведомления по электронной почте о неиспользуемых правилах группы безопасности в учетной записи. Мы убрали монотонную тяжелую работу по настройке инфраструктуры, предоставив шаблоны CloudFormation.

Об авторах

Шива Вайдьянатан

Шива Вайдьянатан — старший архитектор облачной инфраструктуры в AWS. Он предоставляет клиентам техническое руководство, разрабатывает и руководит проектами внедрения, обеспечивая их успех на AWS. Он работает над тем, чтобы сделать облачные сети проще для всех. До прихода в AWS он работал над несколькими исследовательскими инициативами, финансируемыми NSF, о том, как выполнять безопасные вычисления в общедоступных облачных инфраструктурах. Он имеет степень магистра компьютерных наук Университета Рутгерса и степень магистра электротехники Нью-Йоркского университета.

Сундар Шанмугам

Сундар Шанмугам — архитектор облачной инфраструктуры в AWS, где он помогает клиентам разрабатывать, внедрять масштабируемые и отказоустойчивые решения, переносить рабочие нагрузки, а также внедрять методологии DevOps.