Automatisieren Sie die AWS-Verkehrsspiegelung mit CloudFormation

Sie können die Datenverkehrsspiegelung für ExtraHop-Sensoren in AWS mit einer CloudFormation-Vorlage automatisieren, die im GitHub-Repo für ExtraHop-Codebeispiele öffentlich verfügbar ist. Die CloudFormation-Vorlage erstellt eine EventBridge-Regel und eine Lambda-Funktion, die zusammenarbeiten, um den Datenverkehr automatisch zu spiegeln. So funktioniert das System:

Die EventBridge-Regel wird ausgeführt, wenn eines der folgenden CloudTrail-Ereignisse eintritt:

• Schlagworte erstellen
• Schlagworte löschen
• Instanzen ausführen
• Traffic Mirror-Sitzung löschen

Die EventBridge-Regel startet dann die Lambda-Funktion. Die Lambda-Funktion erstellt oder löscht eine Traffic Mirror-Sitzung, die den Datenverkehr von einer EC2-Instance auf ein Traffic Mirror-Ziel spiegelt, das einem ExtraHop-Sensor zugeordnet ist. Die Lambda-Funktion bestimmt, wie die Spiegelsitzung auf der Grundlage von AWS-Tags erstellt wird, die auf EC2-Instances, Traffic-Mirror-Filter und Traffic-Mirror-Ziele angewendet werden.

Wenn das Ereignis createTags ist und einer EC2-Instance ein bestimmtes Tag hinzugefügt wurde, erstellt die Lambda-Funktion eine Traffic Mirror-Sitzung für die EC2-Instance. Wenn das Ereignis runInstances ist und die EC2-Instance ein bestimmtes Tag hat, erstellt die Lambda-Funktion eine Traffic Mirror-Sitzung für die EC2-Instance. Wenn das Ereignis deleteTrafficMirrorSession ist und eine zugeordnete EC2-Instance ein bestimmtes Tag hat, erstellt die Lambda-Funktion die Sitzung neu, um zu verhindern, dass Traffic Mirror-Sitzungen versehentlich oder böswillig gelöscht werden.

Wenn das Ereignis deleteTags ist und ein bestimmtes Tag aus einer EC2-Instance entfernt wurde, löscht die Lambda-Funktion eine Traffic Mirror-Sitzung.