Wie Sie TrendMicro DeepSecurity für AWS mit CloudFormation konfigurieren

TrendMicro DeepSecurity bietet Intrusion Detection und Bedrohungsabwehr für Ihre virtuellen Maschineninstanzen auf AWS. In diesem Blog stellen wir Ihnen den benutzerdefinierten CloudFormation-Anbieter für TrendMicro DeepSecurity vor. Mit diesem Anbieter können Sie sowohl EC2-Instanzen als auch DeepSecurity-Richtlinien und -Regeln über eine einzige CloudFormation-Vorlage bereitstellen.

Wie funktioniert es?

Es ist ganz einfach: Sie geben eine CloudFormation-Ressource vom Typ Custom::DeepSecurity an, wie folgt:

Policy:
Type: Custom::DeepSecurityPolicy
Properties:
  Value:
    name: My Managed Policy
    parentID: '{{lookup "policy" "Linux Server"}}'
    firewall:
      state: 'inherited'
      ruleIDs:
        - '{{lookup "firewallRule" "FTP Server"}}'
        - '{{lookup "firewallRule" "SMTP Server"}}'
    intrusionPrevention: 
      state: 'inherited'
      ruleIDs:
        - '{{lookup "intrusionPreventionRule" "Digium Asterisk RTP Comfort Noise Frame Processing Denial Of Service"}}'
  ServiceToken: !Sub 'arn:aws:lambda:${AWS::Region}:${AWS::AccountId}:function:cfn-deep-security-provider'

unterstützt der Anbieter alle Ressourcen der DeepSecurity-API.
Der Name des Ressourcentyps, den Sie erstellen möchten, wird nach Custom::DeepSecurity angehängt. Weitere Beispiele finden Sie im Demo-Stack. Um die Wiederverwendung bestehender Richtlinien und Regeln zu erleichtern, ersetzt der Anbieter {{lookup}} Verweise durch die
ID der genannten Ressource. Im obigen Beispiel sehen Sie eine Suche nach der Richtlinie 'Linx Server' und zwei bestehenden
Firewall-Regeln.

Automatische Erkennung von EC2-Instanzen

Wenn Sie möchten, dass DeepSecurity automatisch EC2-Instanzen in Ihrem Konto erkennt,
fügen Sie eine Custom::DeepSecurityAWSCloudAccount
Ressource hinzu, wie folgt:

DeepSecurityAWSCloudAccount:
Type: Custom::DeepSecurityAWSCloudAccount
Properties:
  AWSAccountRequest:
    crossAccountRole:
      roleArn: !GetAtt 'DeepSecurityRole.Arn'
      externalId: !Ref StsExternalId
  ServiceToken: !Sub 'arn:aws:lambda:${AWS::Region}:${AWS::AccountId}:function:cfn-deep-security-provider'

DeepSecurityRole:
Type: AWS::IAM::Role
Properties:
  ManagedPolicyArns:
    - !Ref 'DeepSecurityPolicy'
  AssumeRolePolicyDocument:
    Version: '2012-10-17'
    Statement:
      - Effect: Allow
        Principal:
          AWS: arn:aws:iam::147995105371:root
        Action:
          - sts:AssumeRole
        Condition:
          StringEquals:
            sts:ExternalId:
              - !Ref 'StsExternalId'

Wie Sie sehen können, gewährt dies DeepSecurity effektiv Zugang zu Ihrem Konto.

Den Provider bereitstellen

Um den Provider einzusetzen, geben Sie ein:

git clone https://github.com/binxio/cfn-deep-security-provider.git
cd cfn-deep-security-provider
aws cloudformation create-stack 
        --capabilities CAPABILITY_IAM 
        --stack-name cfn-deep-security-provider 
        --template-body file://./cloudformation/cfn-resource-provider.yaml

aws cloudformation wait stack-create-complete  --stack-name cfn-deep-security-provider

Dadurch wird unser vorgefertigter Provider von s3://binxio-public/lambdas/cfn-deep-security-provider-latest.zip eingesetzt.

Zugang konfigurieren

Um dem benutzerdefinierten Anbieter den Zugriff zu ermöglichen, müssen Sie einen API-Schlüssel
erstellen und ihn im Parameterspeicher unter dem Namen /cfn-deep-security-provider/api-key speichern.

aws ssm put-parameter --name /cfn-deep-security-provider/api-key --type SecureString --value="$API_KEY"

Um die AWS Cloud Accounts zu erstellen,
müssen Sie [einen Benutzer hinzufügen](Benutzer hinzufügen und verwalten), um auf
die Legacy-API zuzugreifen,
und den Benutzernamen, das Passwort und den Mandantennamen im Parameterspeicher hinzufügen.

aws ssm put-parameter --name /cfn-deep-security-provider/user --type SecureString --value="$USERNAME"
aws ssm put-parameter --name /cfn-deep-security-provider/password --type SecureString --value="$PASSWORD"
aws ssm put-parameter --name /cfn-deep-security-provider/tenant --type SecureString --value="$TENANT"

Die Demo bereitstellen

Um die Demo zu installieren, geben Sie ein:

aws cloudformation create-stack 
        --capabilities CAPABILITY_NAMED_IAM 
        --stack-name cfn-deep-security-provider-demp 
        --template-body file://./cloudformation/demo.yaml

aws cloudformation wait stack-create-complete  --stack-name cfn-deep-security-provider-demo

Fazit

TrendMicro DeepSecurity bietet Intrusion Detection und Migration von Bedrohungen für Ihre virtuellen
Maschineninstanzen auf AWS. Dieser benutzerdefinierte CloudFormation-Anbieter für TrendMicro DeepSecurity-Ressourcen
ermöglicht es Ihnen, sowohl EC2-Instanzen als auch DeepSecurity-Richtlinien und -Regeln über eine
CloudFormation-Vorlage bereitzustellen.