Häufig gestellte Fragen zu AWS Firewall Manager

Es gibt drei zwingende Voraussetzungen und eine optionale Voraussetzung für die Verwendung des AWS Firewall Managers.

• AWS Organizations – Ihre Konten müssen Teil von AWS Organizations sein und alle Funktionen müssen aktiviert sein. Weitere Informationen finden Sie in der Dokumentation zu AWS Organizations.
• Anlegen des Administratorkontos für AWS Firewall Manager – Firewall Manager muss dem Verwaltungskonto Ihrer AWS-Organisation bzw. einem Mitgliedskonto mit adäquaten Berechtigungen zugeordnet sein. Das dem Firewall Manager zugewiesene Konto wird als Firewall-Manager-Administratorkonto bezeichnet. Weitere Informationen finden Sie im Dokumentations-Leitfaden.
• Aktivieren von AWS Config bei Konten – AWS Config muss für jedes Mitgliedskonto in Ihrer Organisation aktiviert sein. Siehe Dokumentation zu AWS Config.
• AWS Resource Access Manager aktivieren (Optional) – Damit Firewall Manager die AWS Network Firewalls zentral konfigurieren kann bzw. DNS-Firewall-Regeln von Amazon Route 53 Resolver über Konten und VPCs verbinden kann, müssen Sie zuerst die gemeinsame Nutzung von Ressourcen mit AWS Resource Access Manager aktivieren.

• Erfüllen Sie zunächst die oben genannten Voraussetzungen.
• Zweitens, erstellen Sie einen Richtlinientyp für AWS WAF, AWS Shield Advanced, VPC-Sicherheitsgruppe, AWS Network Firewall oder Amazon Route 53 Resolver DNS Firewall.
• Drittens, je nach Richtlinie, geben Sie die Regeln oder Schutzmaßnahmen an. Geben Sie z. B. für eine Richtlinie für AWS WAF die Regelgruppen (benutzerdefiniert oder verwaltet) an, die Sie kontenübergreifend bereitstellen möchten. In ähnlicher Weise verweisen Sie bei einer Richtlinie für VPC-Sicherheitsgruppen auf die Sicherheitsgruppe, die in jeder Ressource innerhalb von Konten repliziert werden soll. Geben Sie für die AWS Netzwerk-Firewall die Regelgruppen (zustandsbehaftete und zustandslose) an, die Sie über VPCs in Ihren Konten bereitstellen möchten. Geben Sie für Amazon Route 53 Resolver DNS Firewall den Regelsatz (die Regelgruppen) an, den Sie mit Ihren VPCs in Ihren Konten verbinden wollen.
• Viertens legen Sie den Geltungsbereich der Richtlinie fest, indem Sie die Konten, den Ressourcentyp und optional die Ressourcen-Tags wählen, wo die Richtlinie bereitgestellt werden soll.
• Schließlich können Sie die Richtlinie prüfen und generieren. Der Firewall-Manager wendet die Regeln und Schutzvorkehrungen automatisch auf alle Ressourcen kontenübergreifend an. Nach der Fertigstellung zeigt Firewall Manager auch ein Compliance-Dashboard an, das alle Konten/Ressourcen anzeigt, die nicht konform sind und diejenigen, die konform sind.

Ja, Sie können eine Firewall Manager-Richtlinie auf zwei Arten konfigurieren –

• Automatische Remediation, bei der Sie automatisch auf Abweichungen von der Richtlinie prüfen und Regeln für nicht-konforme Ressourcen anwenden können
• Manuelle Korrektur, die eine neue Richtlinie und die damit verbundenen Regeln/Schutzmaßnahmen in jedem Konto erstellt, aber die Regeln für die Ressourcen im Konto nicht durchsetzt. Nachdem die Richtlinie mit manueller Korrektur erstellt wurde, können Sie wählen, ob Sie für jedes lokale Konto manuelle Maßnahmen ergreifen oder die Richtlinie zu jedem beliebigen Zeitpunkt bearbeiten möchten, um eine automatische Korrektur vorzunehmen.

Jede Richtlinie des Firewall-Managers kann auf maximal 2.500 Konten begrenzt werden, was die Standardgrenze für die Anzahl der Konten in AWS Organizations darstellt.

Es gibt derzeit keine Begrenzung für die Anzahl der von Firewall Manager verwalteten Ressourcen.

Nein. AWS-Firewall-Manager-Sicherheitsrichtlinien sind regionsabhängig. Jede Firewall Manager-Richtlinie kann nur Ressourcen beinhalten, die in der angegebenen AWS Region verfügbar sind. Sie können für jede Region, in der Sie tätig sind, eine neue Richtlinie generieren.

Ja. Sie können Konten ausschließen. Sie können auch die Ressourcen, die vom Richtlinienumfang ausgeschlossen werden sollen, mithilfe von Tags festlegen.

Die Firewall-Manager-Sicherheitsrichtlinie ist eine Reihe von Konfigurationen, die es den Kunden ermöglicht, die Konten und Ressourcen anzugeben, die einer Reihe von Firewall-Regeln zugewiesen werden müssen. Es werden außerdem zusätzliche Konfigurationen für jeden Firewall-Typ angepasst. AWS Firewall Manager unterstützt heute AWS WAF, AWS Shield Advanced, VPC-Sicherheitsgruppen, AWS Network Firewall und Amazon Route 53 Resolver, DNS Firewall und AWS-Marketplace-Firewalls von Dritten.

Mit Firewall Manager können Sie den Compliance-Status für jede Richtlinie schnell einsehen, indem Sie sich ansehen, wie viele Konten im Umfang der Richtlinie enthalten und wie viele davon konform sind. Für jede in Firewall Manager konfigurierte Richtlinie wird ein Compliance-Dashboard angelegt. Mit dem zentralen Compliance-Dashboard können Sie sehen, welche Konten die jeweilige Richtlinie nicht erfüllen. Darüber hinaus erhalten Sie Informationen, warum eine bestimmte Ressource die jeweilige Richtlinie nicht erfüllt. Sie können auch nicht konforme Ereignisse für jedes Konto im AWS Security Hub anzeigen.

Ja, Sie können neue SNS-Benachrichtigungskanäle generieren, um so Benachrichtigungen in Echtzeit zu erhalten, wenn neue nicht-konforme Ressourcen entdeckt werden. In ähnlicher Weise wird jedes Konto, das Teil einer Firewall-Manager-Richtlinie ist, über nicht konforme Ereignisse in AWS Security Hub benachrichtigt.

Für jede generierte Firewall Manager-Richtlinie können Sie CloudWatch-Metriken für jede Regeln in der Regelgruppe aggregieren, welche anzeigen, wie viele Anfragen innerhalb der gesamten Organisation zugelassen oder blockiert wurden. Damit haben Sie einen zentralen Ort für die Einrichtung von Warnungen bei Bedrohungen innerhalb Ihrer Organisation.