Automatisez la mise en miroir du trafic AWS avec CloudFormation

Vous pouvez automatiser la mise en miroir du trafic pour les capteurs ExtraHop dans AWS à l'aide d'un modèle CloudFormation accessible au public sur le référentiel GitHub d'exemples de code ExtraHop. Le modèle CloudFormation crée une règle EventBridge et une fonction Lambda qui fonctionnent ensemble pour refléter automatiquement le trafic. Voici comment fonctionne le système :

La règle EventBridge s'exécute lorsque l'un des événements CloudTrail suivants se produit :

• Créer des tags
• Supprimer les balises
• Exécuter des instances
• Supprimer la session Traffic Mirror

La règle EventBridge lance ensuite la fonction Lambda. La fonction Lambda crée ou supprime une session de miroir de trafic qui reflète le trafic d'une instance EC2 vers une cible de miroir de trafic associée à une sonde ExtraHop. La fonction Lambda détermine comment créer la session miroir en fonction des balises AWS appliquées aux instances EC2, des filtres de miroir de trafic et des cibles de miroir de trafic.

Si l'événement est CreateTags et qu'une balise spécifique a été ajoutée à une instance EC2, la fonction Lambda crée une session Traffic Mirror pour l'instance EC2. Si l'événement est RunInstances et que l'instance EC2 possède une balise spécifique, la fonction Lambda crée une session de miroir de trafic pour l'instance EC2. Si l'événement est DeleteTrafficMirrorSession et qu'une instance EC2 associée possède une balise spécifique, la fonction Lambda recrée la session pour empêcher la suppression accidentelle ou malveillante des sessions Traffic Mirror.

Si l'événement est DeleteTags et qu'une balise spécifique a été supprimée d'une instance EC2, la fonction Lambda supprime une session Traffic Mirror.