• AWS Resource Access Manager

  

• AWS Network firewall

  

注意 構成後に共有を有効にするをクリックすると、AWS Resource Access ManagerでNetwork Securityによって共有されたルールグループを一度だけ承認します。ルールグループは毎週自動的に更新されます。

{
  "Version": "****-**-**",
  "Statement": [
    {
      "Action": [
        "ram:AcceptResourceShareInvitation",
        "ram:GetResourcePolicies",
        "ram:GetResourceShareInvitations",
        "ram:GetResourceShares",
        "ram:ListPendingInvitationResources",
        "ram:ListPrincipals",
        "ram:ListResources",
        "ram:RejectResourceShareInvitation"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

すべてのRuleはデフォルトでトラフィックをブロックするように設定されています。お使いの環境でトラフィックをブロックしている可能性のあるRuleについて詳しく知るには、ナビゲーションバーのポリシーアイコンをクリックし、侵入防御フィルタリングを選択して、Searchフィールドに特定のフィルタRule名またはIDを入力してください。

• BLOCKルール (*-rulegroup-json) – トラフィックをブロックするだけの場合は、これらのルールを使用してください。
• ALLOWルール (*-rulegroup-allow-json) – トラフィックを許可し、検出されたイベントをステートフルエンジンに送信して分析およびログ記録を行う場合にこれらのルールを使用します。

• 共有ステートフルRule (networksecurity-snort-mrs-snort-rules-json) をファイアウォールポリシーに追加しました。
• ファイアウォールポリシーをファイアウォールに関連付けました。
• ファイアウォールを設定して、ステートレスルールGroupに一致しないすべてのフルパケットをステートフルエンジンに転送して検査し、パケットがステートフルルールGroupに一致したときにアラートログが生成されるようにしました。
• ファイアウォールをデプロイしてVPCを保護します。VPCには少なくとも1つの稼働中のインスタンスが含まれている必要があります。AWS Network Firewallアーキテクチャについて詳しく学びましょう。

{
    "firewall_name": "...", 
    ...
    "event": { 
         "timestamp": "...",
        ...
        "dest_ip": "93.184.216.34", 
        "dest_port": 80, 
        "proto": "TCP", 
        "tx_id": 0, 
        "alert": { 
            "action": "allowed", 
            "signature_id":..., 
            "rev": 1, 
            "signature": "Malware Trojan-Downloader.Win64.BazarLoader.A Runtime Detection - (DECRYPTED TRAFFIC)", 
            "category": "", 
            "severity": 3 
        }, 
        "http": { 
            "hostname": "www.example.com", 
            "url": "/api/v88", 
            "http_user_agent": "sdvntyer", 
            "http_method": "GET", 
            "protocol": "HTTP/1.1", 
            "length": 0 
        }, 
        "app_proto": "http" 
    } 
 }

 {
    "firewall_name": "...", 
    ...
    "event": { 
        "timestamp": "...", 
        ...
        "dest_ip": "93.184.216.34", 
        "dest_port": 80, 
        "proto": "TCP", 
        "tx_id": 0, 
        "alert": { 
            "action": "allowed", 
            "signature_id": ..., 
            "rev": 1, 
            "signature": "Malware Backdoor.Shell.Dragonmuddy.A Runtime Detection", 
            "category": "", 
            "severity": 3 
        }, 
        "http": { 
            "hostname": "www.example.com", 
            "url": "/includes/main.php?t=7d4580a3910c54d62b46f24c397c8d59&f=g2&type=cmd&id=D7CB4B6E5A21CA596DE0A7E10059C85E", 
            "http_user_agent": "curl/7.68.0", 
            "http_method": "GET", 
            "protocol": "HTTP/1.1", 
            "length": 0 
        }, 
        "app_proto": "http" 
    } 
}

{
    "firewall_name": "...", 
    ...
    "event": { 
        "timestamp": "...",
        ...
        "dest_ip": "93.184.216.34", 
        "dest_port": 80, 
        "proto": "TCP", 
        "tx_id": 0, 
        "alert": { 
            "action": "allowed", 
            "signature_id": ..., 
            "rev": 1, 
            "signature": "Malware Worm.Python.KashmirBlack.A Runtime Detection - (DECRYPTED TRAFFIC)", 
            "category": "", 
            "severity": 3 
        }, 
        "http": { 
            "hostname": "www.example.com", 
            "url": "/adeliap/404.php", 
            "http_user_agent": "ArcherGhost", 
            "http_method": "POST", 
            "protocol": "HTTP/1.1", 
            "length": 0 
        }, 
        "app_proto": "http" 
    } 
}