AWS Inspector Plugin for Risk Exchange

This document explains how to configure the AWS Inspector v1.0.0 plugin in the Netskope Cloud Exchange platform.This plugin is used to fetch Workloads from the AWS Inspector > Inventory > Findings for EC2 instance resources. This plugin also supports Create Suppression Rule action on AWS Inspector.

Conditions préalables

• Un locataire Netskope (ou plusieurs, par exemple des instances de production et de développement/test).
• Un locataire Netskope Cloud Exchange avec le plugin Tenant et le plugin Risk Exchange déjà configurés.
• Connectivity to the AWS Inspector.

AWS Inspector Plugin Support

This plugin is used to fetch Workloads from the AWS Inspector > Inventory > Findings for EC2 instance resources. This plugin also supports Create Suppression Rule action on AWS Inspector.

Mises en correspondance

Mappings are used to view the pulled Workloads along with their respective details. Fields mapped during plugin configuration will be visible on the Records page after the data is pulled. Here are the suggested mappings to use while configuring the plugin.

Pull Mapping for Devices(Workloads)

Permissions

AWS Inspector permissions to the IAM user to pull Workload information.

• inspector2:ListFindings
• inspector2:ListCoverage
• inspector2:BatchGetFindingDetails
• inspector2:CreateFilter
• inspector2:ListFilters

inspector_client = boto3.client(
         "inspector2",
         aws_access_key_id=self.aws_public_key,
         aws_secret_access_key=self.aws_private_key,
         aws_session_token=self.aws_session_token,
         region_name=self.configuration["region_name"].strip(),
         config=Config(
                proxies=self.proxy,
                user_agent=self.useragent,
                retries={
                         "total_max_attempts": 3,
                          "mode": standard,
                 },
         ),
)

{
    "filterCriteria": {
        "resourceType": [
            {"comparison": "EQUALS", "value": "AWS_EC2_INSTANCE"}
        ],
        "updatedAt": [
            {
                "startInclusive": start_time,
                "endInclusive": end_time,
            }
        ],
        "findingStatus": [
            {"comparison": "EQUALS", "value": "ACTIVE"}
        ],
    },
    "sortCriteria": {
        "field": "LAST_OBSERVED_AT",
        "sortOrder": "ASC",
    },
    "maxResults": BATCH_SIZE,
    # "nextToken": next_token  # included on subsequent pages
}

response = inspector_client.list_findings(**params)

{
    "findingArns": chunk   # list of up to 10 Inspector finding ARNs
}

response = inspector_client.batch_get_finding_details(findingArns=chunk)

{
    "action": "SUPPRESS",
    "maxResults": LIST_FILTERS_MAX_RESULTS,
    # "nextToken": next_token  # included on subsequent pages
}

response = inspector_client.list_filters(**kwargs)

{
    "name": rule_name,  
    "action": "SUPPRESS",
    "filterCriteria": criteria,              # built from suppression params, e.g.:
    # {
    #   "findingArn":    [{"comparison": "EQUALS",  "value": "..."}],
    #   "resourceTags":  [{"comparison": "EQUALS",  "key": "k", "value": "v"}],
    # }
    "description": "Created by Netskope Cloud Exchange on <ISO-date>.",
    # "reason": reason  # optional, user-provided
}

response = inspector_client.create_filter(**kwargs)
arn = response.get("arn", "")

Matrice de performance

Below is the performance matrix conducted on a Large CE Stack with below-mentioned specifications by pulling 500k workloads.

Agent utilisateur

APN/1.1 (ahq9d89xj9gspapczzdb59goq)

Workflow

1. Generate credentials for AWS Inspector authentication methods.
2. Configure the AWS Inspector plugin.
3. Configurez une règle de gestion.
4. Configure an Action.
5. Validez le plugin.

Regardez une vidéo

Cliquer sur « play » pour regarder une vidéo.

Obtaining configuration parameter

Create an AWS Inspector Policy

1. Search for “IAM” in the search box and from the left panel Click on “Policies”.

   

2. Click on Create Policy.

   

3. Click on the JSON tab, and enter the below-mentioned policy. Click on Next:  Tags, Click on Next: Review.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "Statement1",
         "Effect": "Allow",
         "Action": [
                   "inspector2:ListFindings",
                   "inspector2:ListCoverage",
                   "inspector2:BatchGetFindingDetails",
                   "inspector2:CreateFilter",
                   "inspector2:ListFilters"
         ],
         "Resource": "*"
       }
     ]
   }

4. Enter Name and Click on Create Policy.

   

   • Attach this policy to the user, using the following steps:

     • Navigate to IAM > Users. Select the user on which you want to attach a policy, and click on Add permissions and click on Add permissions options.

       

     • Select “Attach policies directly” option under Permissions options and search and select the policy created in the previous step for the source queue.

       

     • Click on Next and then click on Add permissions. Policy will be attached to the user.

Authentification IAM Role Anywhere

Conditions préalables

Le service AWS Certificate Manager doit être activé pour authentifier le plugin à l'aide de la méthode d'authentification AWS IAM Roles Anywhere.

Créer une politique

Cette politique contient les autorisations requises pour créer un certificat d'autorité de certification privé (y compris les autorisations pour créer une ancre de confiance et un profil) et pour utiliser les rôles IAM Anywhere.

1. Allez sur Policy Generator et sélectionnez IAM Policy comme type de politique, entrez les détails de Add Statement, et générez une politique.
   • Select Type de politique : Politique IAM
   • Effet : Autoriser
   • Service AWS : Autorité de certification privée AWS
   • Actions :
     • Créer une autorité de certification
     • DescribeCertificateAuthority
     • Obtenir un certificat
     • Obtenir un certificat d'autorité
     • Obtenir l'autorité de certification (GetCertificateAuthorityCsr)
     • ImportCertificateAuthorityCertificate
     • Délivrer un certificat
     • Liste des autorités de certification
   • ARN : *
2. Cliquez sur Ajouter un relevé.
   

   

3. Faites défiler l'écran vers le haut pour ajouter une autre déclaration.
   • Select Type de politique : Politique IAM
   • Effet : Autoriser
   • Service AWS : Gestion des identités et des accès (IAM) d'AWS
   • Actions :
     • Politique de rattachement des rôles
     • Créer une clé d'accès
     • Créer un rôle
     • Supprimer un rôle
     • PassRole
   • ARN : *
4. Cliquez sur Ajouter un relevé.
   

   

5. Faites défiler l'écran vers le haut pour ajouter une autre déclaration.
   • Select Type de politique : Politique IAM
   • Effet : Autoriser
   • Service AWS : Gestionnaire de certificats AWS
   • Actions :
     • Décrire le certificat
     • Certificat d'exportation
     • Obtenir un certificat
     • Liste des certificats
     • ListTagsForCertificate
     • Demande de certificat
   • ARN : *
6. Cliquez sur Ajouter un relevé.
   

   

7. Faites défiler l'écran vers le haut pour ajouter une autre déclaration.
   • Select Type de politique : Politique IAM
   • Effet : Autoriser
   • Service AWS : Gestion des identités et des accès AWS Rôles en tout lieu
   • Actions :
     • Créer un profil
     • CreateTrustAnchor
     • Obtenir un profil
     • GetTrustAnchor
     • Liste des profils
     • ListTrustAnchors
   • ARN : *
8. Cliquez sur Ajouter un relevé.
   

   

9. Cliquez sur Générer la politique.
   

   

10. Copiez la politique car elle sera utilisée dans l'étape suivante pour créer la politique nécessaire à la création des certificats de l'AC privée.
11. Allez sur AWS Console et sélectionnez IAM parmi Tous les Services. Cliquez sur Politiques dans le panneau de gauche, puis sur Créer une Politique.
    

    

12. Copiez la politique dans l’onglet JSON, cliquez sur Suivante : Tags, puis cliquez À suivre : Critique
    .
    

    

13. Saisissez un nom (comme Netskope-ce-rolesAnywhere-policy) et cliquez sur Enregistrer les modifications.
    

    

Créer une autorité de certification privée

1. Connectez-vous à la console AWS.
2. Recherchez Certificate Manager.
   

   

3. Cliquez sur AWS Private CA.
4. Cliquez sur Créer une autorité de certification privée.
   

   

5. Pour les options de mode, sélectionnez Usage général.
6. Pour les options de type d'autorité de certification, sélectionnez Racine.
   

   

7. Voici l’Organisation (O).
   

   

8. Pour les options d’algorithme clé, sélectionnez RSA 2048.
   

   

   

9. Ajoutez les tags s'il y en a (facultatif).
10. Cochez la case dans la section Options d'autorisation de l'AC.
11. Cochez la case dans la section Prix.
12. Cliquez sur Créer pour créer le certificat d'autorité de certification.
    

    

    

13. À partir des actions, Sélectionnez Installer le certificat d'autorité de certification.
    

    

14. Cliquez sur Confirmer et installer.
    

    

    

Créer un ancrage de confiance

1. Cherchez le service IAM , allez dans Rôles sous gestion d’accès, faites défiler jusqu’à Rôles n’importe où et sélectionnez Gérer.
   

   

2. Cliquez sur Créer un ancre de confiance.
   

   

3. Saisissez le nom d'une ancre de confiance.
   
4. Select AWS Certificate Manager Private CA (créé dans les étapes précédentes) comme source d'autorité de certification (CA). Select le certificat créé à l'étape précédente dans l'autorité de certification privée AWS.
5. Ajoutez des étiquettes si nécessaire.
6. Cliquez : Créer un ancrage de confiance.
   

   
   

7. Cliquez sur l'ancre de confiance créée et copiez l' ARN de l'ancre de confiance. Ce paramètre sera requis dans la configuration du plugin « Trust Anchor ARN » pour la méthode d'authentification AWS IAM Roles Anywhere.
   

   

Créer un rôle IAM

1. Allez sur IAM services dans la console AWS.
2. Cliquez sur Rôle dans le sous-menu Gestion de l'accès.
3. Cliquez sur Créer un rôle.
   

   

4. Dans le type d'entité de confiance, sélectionnez Stratégie de confiance personnalisée.
   

   

5. Remplacez la politique de confiance personnalisée par cette politique de confiance. Cette politique contient les autorisations pour l'utilisation du service Rôles n'importe où :

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Service": [
                       "rolesanywhere.amazonaws.com"
                   ]
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:TagSession",
                   "sts:SetSourceIdentity"
               ]
           }
       ]
   }

   

6. Cliquez sur Suivant.
7. Dans les politiques d'autorisation, sélectionnez la politique créée dans Créer une politique AWS Security Hub.
   
8. Cliquez sur Suivant.
9. Indiquez un nom de rôle (par exemple Netskope-ce-aws-verified-access-role) et une description pour ce rôle.
   
10. Cliquez sur Créer un rôle. Recherchez le poste créé et cliquez sur le nom du rôle. 
    
11. Notez l'ARN du rôle.Il sera requis dans le paramètre ARN du rôle de la configuration du plugin pour la méthode d'authentification AWS IAM Roles Anywhere.
    

Créer un profil

1. Select Rôles sous Gestion de l'accès.
2. Faites défiler jusqu’à Rôles n’importe où et cliquez sur Gérer.
   

   

3. Développez les étapes de la configuration.
4. Cliquez sur Étape 2 : Configurer les rôles.
5. Cliquez sur Configurer un profil.
   

   

6. Saisissez un nom de profil.
7. Select the role created in the Create IAM Role section.
   
8. Supprimez la politique d’assurance en ligne.
   
9. Cliquez sur Créer un profil.
   

   

   

10. Select le profil créé et copiez l'ARN du profil.
    

Demander un certificat privé

1. Allez sur AWS Certificate Manager > Request certificate.
2. Select Demandez un certificat privé.
   

   

3. Cliquez sur Suivant.
4. Select l'autorité de certification créée à l'étape précédente.
   

   

5. Indiquez un nom de domaine dans le champ Fully qualified domain name, comme Netskope-ce-verified-access.com.
6. Select RSA 2048 comme algorithme de clé.
   
7. Ajoutez des étiquettes si nécessaire.
8. Confirmez les autorisations de renouvellement du certificat.
9. Cliquez sur Demander.
   

   

10. Dans le volet de navigation d'AWS Certificate Manager, cliquez sur List certificates.
11. Select le certificat créé précédemment.
    
12. Cliquez sur Exporter.
    
13. Enter a passphrase. Make a note of the passphrase as it will be required for the Configuration of the AWS Security Lake Plugin using the AWS IAM Roles Anywhere Authentication method.
14. Cliquez sur Générer un codage PEM.
    
15. Téléchargez tout Certificats car elle ne sera plus visible. Pour New certificats, vous devrez les exporter à nouveau.
    

L’organisme du certificat, Certificate Private Key, sera nécessaire pour la configuration du plugin AWS Verified Access en utilisant la méthode d’authentification AWS IAM Roles Anywhere . Pour plus d’informations, rendez-vous sur AWS IAM Role Anywhere.

Authentification AWS

Créer un rôle

1. Allez dans les services IAM dans la console AWS.
2. Cliquez sur Créer un rôle.
   

   

3. Select le service AWS.
4. Sous Cas d'utilisation, sélectionnez EC2.
5. Cliquez sur Suivant.
   

   

6. Select la stratégie d'autorisation créée dans Créer une stratégie AWS Security Hub.
   
7. Cliquez sur Suivant.
   
8. Saisissez un nom de rôle et une description.
   
9. Cliquez sur Créer un rôle.
   

Attribuer un rôle à une instance EC2

1. Connectez-vous à la console de votre instance EC2.
2. Cliquez sur Instances sous Instances.
   

   

   

3. Accédez à Action > Sécurité > Modifier le rôle IAM.
   

   

4. Select le rôle que vous avez créé ci-dessus dans Créer un rôle. (Netskope-ce-instance-role).
5. Cliquez sur Ajouter un rôle IAM ou Modifier un rôle IAM. Notez que l'instance EC2 et la file d'attente doivent se trouver dans la même région.
   

Configure the AWS Inspector Plugin

1. Dans Cloud Exchange, allez sur Settings > Plugin Store. Recherchez et sélectionnez le plugin AWS Inspector v1.0.0 (CRE).

   

2. Add plugin configuration name and change sync interval if needed.

   

3. Cliquez sur Next et sur les paramètres de configuration : 

   • Authentication Method: Select la méthode à utiliser pour l'authentification (déployé sur AWS/AWS IAM Roles Anywhere)

   • Private Key: Clé privée pour décrypter le certificat privé de l'autorité de certification AWS. Requis pour le type d'authentification AWS IAM Roles Anywhere.

   • Certificate Body: Organisme de certification pour le certificat d'autorité de certification public/privé AWS. Requis pour le type d'authentification AWS IAM Roles Anywhere.

   • Password Phrase: Password Phrase for decrypting the CA Certificate. Required for the AWS IAM Roles Anywhere authentication type authentication type.

   • Profile ARN: ARN du profil AWS pour l'authentification du client AWS. Requis pour le type d'authentification AWS IAM Roles Anywhere.

   • Role ARN: ARN du rôle AWS pour l'authentification du client AWS. Requis pour le type d'authentification AWS IAM Roles Anywhere.

   • Trust Anchor ARN: ARN de l'Ancre de confiance AWS pour l'authentification du client AWS. Requis pour le type d'authentification AWS IAM Roles Anywhere.

   • AWS Region Name: Nom de la région AWS. Assurez-vous que le nom de la région correspond à celui de l'ARN du profil et de l'ARN de l'ancre de confiance.

   • Initial Range: Nombre de jours pour extraire les données pour l'exécution initiale.

     

     

     

4. Cliquez sur Next et sélectionnez l'entité requise dans la liste déroulante Entité . Fournissez les mappages de champs conformément à vos exigences. Vous pouvez en créer un New en cliquant sur Add.

   

   Pour créer un champ New, cliquez sur Add field.

   

   Indiquez l’étiquette de champ, le type de données, la normalisation et la stratégie d’agrégation selon vos besoins, puis cliquez sur Save. 

   

   Map the created fields:

   

   

   Note

   • Consultez la section Mappages lors de la configuration du plugin.
   • Finding ID and Private IP fields will be required to pull the Workloads.

5. Cliquez sur Save.

   

Configure a Risk Exchange Business Rule for the AWS Inspector Plugin

1. Dans Risk Exchange, cliquez sur Business Rules et Create New Rule.

2. Enter a Rule Name. Select the Entity for which Fields have been configured for the AWS Inspector plugin, and configure the query based on your requirements. This example filters the data fetched from the plugin.

   

3. Cliquez sur Save.

Configure Risk Exchange Actions for the AWS Inspector Plugin

The AWS Inspector plugin supports the following action types:

• Create Suppression Rule: Create Suppression Rule action can be used to create a suppression rule on AWS Inspector.
• Pas d'action : Aucune action ne sera effectuée pour cette action. Les utilisateurs peuvent générer des alertes UBA dans Ticket Orchestrator en utilisant cette action et en activant l'option Générer des alertes.

Create a Suppression Rule

1. Dans Risk Exchange, allez à Actions et cliquez sur Add Action Configuration.

2. Select la règle métier, la configuration du plugin cible et l'action requises dans leurs listes déroulantes respectives.

3. Enable the Require Approval toggle if Approval is needed before performing action on the pulled records. If the Require Approval toggle is enabled, then users need to manually approve the execution of each action from Risk Exchange on the Action Logs page.

4. Enter the Action Parameters:

   • Rule Name: Name of the Suppression rule to create in AWS Inspector. Provide rule name in Static field. A maximum of 128 characters are allowed.
   • Rule Description: Description for Suppression rule. Provide a description in the Static field.
   • Filter Key: The AWS Inspector field is used as the suppression filter criteria. Select from Static field dropdown.
   • Filter Value: Value to match for the selected filter field. Map to a source field or provide a static value.

   

5. Cliquez sur Save.

No Action

1. Dans Risk Exchange, allez à Actions et cliquez sur Add Action Configuration.
2. Select la règle de gestion, la configuration et l'action requises dans leurs listes déroulantes respectives.
3. Activez la case à cocher Exiger l' approbation si une approbation est nécessaire avant d'effectuer une action sur les enregistrements tirés.
4. Cliquez sur Save.

Validate the AWS Inspector Plugin

Valider dans Cloud Exchange

To validate the pulling:.

In Risk Exchange, and click on Records. Select the Entity that was selected while configuring the field mapping to view the pulled records.

To verify the logs related to pulled records, navigate to the Home > Settings > Logging page and apply the filter with plugin name or plugin configuration name.

Logs for performed Create Suppression Rule action:

When a pulled record matches one of the configured business rules, the configured action will be performed on the record. This can be seen at Risk Exchange > Action Logs.

Validate in AWS Inspector

To validate the workloads available on AWS Inspector:

Log in to AWS instance, and go to the Inspector service.

Move to the Findings page under Inventory.

Here are all the findings listed. To check the details of a particular finding, click on that finding.

Validate the Create Suppression Rule Action

To validate the Create Suppression Rule Action, navigate to the Inspector service of AWS.

Go to the Suppression Rules page under the Management section.

Click on the created Suppression rule to verify the description and filter for the rule.

Troubleshooting AWS Inspector Plugin

Impossible d'extraire les charges de travail ou les valeurs des champs du plugin

If you are not able to pull Workloads from the AWS Security Hub Findings, it could be due to there being no data available to pull due to:

• Aucune donnée disponible pour le tirage.
• Aucun champ n'est cartographié.

What to do:

1. Go to AWS Inspector > Findings. Check if the findings are available to pull for the same time range and same region name as provided in the plugin configuration.
2. If the findings are available and still not pulled, check the Resource value for those findings. Only findings with the EC2 Instance or Amazon EC2 Instance Resource type are pulled.
3. Si les résultats sont disponibles, assurez-vous que les champs sont mappés dans le plugin.

Problèmes lors de la configuration du plugin New

If you’re creating a new plugin with AWS IAM Roles Anywhere and see this error while configuring the plugin:

What to do:

Cette erreur peut signifier que l'ARN de l'ancrage de confiance, l'ARN du rôle ou l'ARN du profil a un identifiant de compte différent. Vous devez donc vérifier que les paramètres fournis sont générés à partir du même compte et qu'ils ont la même région.