Busca de ameaças com a implantação do AWS Network Firewall (Português) | Threat Hunting with AWS Network Firewall Deployment (Portuguese)

Visão geral do laboratório

Recentemente, você foi contratado como o engenheiro principal de segurança de rede da AnyCompany. Depois de realizar uma auditoria de segurança inicial, você concluiu que a organização não tinha visibilidade do tráfego de rede. Além disso, você tem a preocupação que uma ou mais instâncias do EC2 da AnyCompany possam estar infectadas com malware. Com base em suas recomendações, foi solicitado que você implementasse uma arquitetura de rede que usa uma combinação do AWS Network Firewall e do DNS do Route 53 Resolver para:

• Impor a filtragem da web de saída usando regras de firewall stateful.
• Monitorar o tráfego DNS.
• Identificar as instâncias do EC2 que você acredita que podem ter sido comprometidas.

Neste laboratório, você usará uma combinação de listas de domínios, grupos de regras e monitoramento para proteger uma VPC e localizar uma série de instâncias do EC2 não autorizadas.

Observação: se você estiver participando do re:Inforce e quiser acompanhar este laboratório spotlight com o instrutor, use a seguinte apresentação:

@prezi

Objetivos

Ao final deste laboratório, você será capaz de fazer o seguinte:

• Configurar grupos de regras stateful no AWS Network Firewall que seguem as especificações de regra do sistema de prevenção contra intrusão (IPS) compatível com Suricata.
• Usar uma combinação de listas de domínio DNS gerenciadas e personalizadas para criar um firewall de DNS que alerte os administradores sobre consultas suspeitas.
• Usar o Log Insights e o Contributor Insights no Amazon CloudWatch para identificar instâncias do EC2 não autorizadas.

Pré-requisitos de conhecimentos técnicos

É recomendável ter familiaridade com roteamento e DNS. Você também deve se sentir confortável trabalhando com a Command Line Interface (CLI) em um ambiente Linux.

Duração

O laboratório leva aproximadamente 90 minutos para ser concluído.

Lista de ícones

Vários ícones são usados neste laboratório para chamar a atenção para diferentes tipos de instruções e observações. A lista a seguir explica a finalidade de cada ícone:

• Comando: um comando que você precisa executar.
• Saída esperada: um exemplo que você pode usar para verificar a saída de um comando ou arquivo editado.
• Observação: uma sugestão, dica ou orientação importante.
• Saiba mais: onde encontrar mais informações.
• Atenção: informações de interesse ou importância especial (não tão importantes a ponto de causar problemas com o equipamento ou dados caso você não as veja, mas que podem resultar na necessidade de repetir determinadas etapas).
• A considerar: um momento de parar e pensar em como aplicar um conceito no seu ambiente ou iniciar uma conversa sobre o tópico em questão.
• Dica: uma dica para uma pergunta ou um desafio.
• Segurança: uma oportunidade de incorporar as práticas recomendadas de segurança.
• Atualizar: um momento em que talvez seja necessário atualizar uma página ou lista do navegador da web para mostrar novas informações.