Amazon Web Services

Questi requisiti si applicano indipendentemente dal modello selezionato.

L’account si trova nella partizione AWS standard

Sono supportati solo le organizzazioni e gli account AWS nella partizione commerciale AWS standard. Gli account in altre partizioni (ad esempio AWS GovCloud o AWS Cina) non sono supportati.

Distribuzione nell’area AWS supportata

Distribuire il modello CloudFormation in una delle aree AWS abilitate per impostazione predefinita da AWS (le aree GovCloud e Cina non sono supportate):

Stati Uniti orientali (Virginia settentrionale) – us-east-1

Stati Uniti orientali (Ohio) – us-east-2

Stati Uniti occidentali (California settentrionale) – us-west-1

Stati Uniti occidentali (Oregon) – us-west-2

Asia Pacifico (Mumbai) – ap-south-1

Asia Pacifico (Osaka) – ap-northeast-3

Asia Pacifico (Seoul) – ap-northeast-2

Asia Pacifico (Singapore) – ap-southeast-1

Asia Pacifico (Sydney) – ap-southeast-2

Asia Pacifico (Tokyo) – ap-northeast-1

Canada (Centrale) – ca-central-1

Europa (Francoforte) – eu-central-1

Europa (Irlanda) – eu-west-1

Europa (Londra) – eu-west-2

Europa (Parigi) – eu-west-3

Europa (Stoccolma) – eu-north-1

Sud America (São Paulo) – sa-east-1

Autorizzazioni account AWS

L’entità principale IAM AWS (utente o ruolo) utilizzata per distribuire lo stack CloudFormation deve disporre di autorizzazioni sufficienti per creare tutte le risorse di cui il modello esegue il provisioning.

Ambito dell’autorizzazione necessaria: AdministratorAccess o un criterio personalizzato che consente di creare:

•Ruoli IAM e criteri gestiti

•Bucket S3 e criteri di bucket

•Rapporti CloudTrail

•Funzioni Lambda (richiamate come risorse personalizzate CloudFormation)

•Stack CloudFormation e StackSets

Se si hanno dubbi sul fatto che le credenziali siano sufficienti, contattare l’amministratore AWS prima di procedere.

Distribuisci lo stack solo una volta per account/organizzazione

Ogni modello crea risorse con nomi fissi (ad esempio CwppServiceRole). La distribuzione di un secondo stack nello stesso account avrà esito negativo con un errore di risorsa già esistente. Se una distribuzione precedente non è riuscita o deve essere ripetuta, rimuovere prima lo stack CloudFormation esistente.

Eccezione per i ruoli del servizio CWP nei criteri di negazione espliciti

Se l’account o l’organizzazione AWS utilizza Criteri di controllo dei servizi (Service Control Policies, SCP) o criteri basati su risorse che contengono una regola Deny esplicita con una condizione StringNotLike su aws:PrincipalARN, è necessario aggiungere un’eccezione per il ruolo IAM creato da CWP. Senza questa eccezione, il criterio di negazione bloccherà il funzionamento di CWP.

Eccezioni obbligatorie:

•Tutti gli account

Aggiungere il seguente ruolo agli elenchi di elementi consentiti: arn:aws:iam::*:role/CwppServiceRole.

•Account di gestione (solo distribuzione a livello di organizzazione)

Per le distribuzioni a livello di organizzazione, è inoltre necessario aggiungere agli elenchi di elementi consentiti degli account di gestione: arn:aws:iam::*:role/CwppManagementServiceRole.

Questo ruolo deve essere aggiunto solo ai criteri basati sulle risorse nell’account di gestione. I criteri SCP non si applicano all’account di gestione, pertanto non è necessario alcun aggiornamento SCP per questo ruolo.

Esempio di criterio:

{

  "Effect": "Deny",

  "Resource": "*",

  "Condition": {

    "StringNotLike": {

      "aws:PrincipalARN": "arn:aws:iam::*:role/CwppServiceRole"

    }

  }

}

Assicurarsi che i ruoli richiesti siano inclusi nell’elenco di elementi consentiti StringNotLike di tali criteri prima di eseguire la distribuzione dello stack CloudFormation.

CwppManagementServiceRole è rilevante solo per le distribuzioni a livello di organizzazione e solo all’interno dei criteri basati sulle risorse dell’account di gestione.

Questi requisiti aggiuntivi si applicano quando si utilizza uno dei due modelli di organizzazione.

Distribuisci dall’account di gestione

I modelli dell’organizzazione devono essere distribuiti dopo aver effettuato l’accesso all’account di gestione AWS Organizations. Non è possibile utilizzare un account utente per questa distribuzione.

Individua l’ID dell’unità organizzativa radice

Durante la distribuzione, verrà richiesto l’ID dell’unità organizzativa radice, che viene utilizzato per la distribuzione di StackSets a tutti gli account. Per trovarlo:

1.Aprire la console AWS Organizations.

2.Fare clic sulla voce Radice nella parte superiore della struttura organizzativa.

3.Copiare l’ID: il formato è  r-xxxx.

Per istruzioni dettagliate, vedere la documentazione AWS su come spostarsi nella gerarchia dell’organizzazione.

Autorizzazione per l’attivazione dell’accesso attendibile per CloudFormation Organizations

Il modello attiva automaticamente l’accesso attendibile tra CloudFormation e AWS Organizations (tramite una risorsa Lambda personalizzata). L’entità principale di distribuzione deve essere autorizzata a chiamare cloudformation:ActivateOrganizationsAccess. Tale parametro è incluso in AdministratorAccess. Se si utilizza un set di autorizzazioni con ambito, verificare che questa azione sia consentita in modo esplicito.

Questi requisiti aggiuntivi si applicano quando si utilizza una delle due varianti del modello DHMC.

Nessuna configurazione di gestione dell’host predefinita (Default Host Management Configuration, DHMC) in conflitto

Se in precedenza è stata utilizzata la configurazione rapida di AWS SSM per configurare DHMC, anche parzialmente, non è possibile utilizzare l’onboarding a livello di organizzazione con la configurazione DHMC. Le due configurazioni entreranno in conflitto. In tal caso:

1.Utilizzare l’onboarding dell’organizzazione non DHMC.

2.Nell’impostazione della configurazione rapida SSM esistente, assicurarsi che DHMC sia attivo in tutti gli account utente e in tutte le aree in cui verrà effettuata la distribuzione di CWP.

Autorizzazioni per la configurazione rapida di SSM

Oltre alle autorizzazioni dell’organizzazione di base, l’entità principale di distribuzione necessita delle seguenti risorse:

•ssm-quicksetup:UpdateServiceSettings

•organizations:EnableAWSServiceAccess

•Autorizzazione per creare ruoli collegati ai servizi

Queste risorse sono tutte incluse in AdministratorAccess. Il modello crea una risorsa Lambda che esegue questi passaggi automaticamente, senza che sia necessario eseguire manualmente alcun comando.

L’abilitazione della protezione della macchina virtuale (istanza EC2) in CWP per le istanze EC2 di AWS prevede due livelli di requisiti. L’istanza EC2 deve prima essere registrata come istanza gestita da SSM (configurazione a livello di account), quindi ogni singola istanza deve soddisfare i requisiti a livello di macchina virtuale prima che il prodotto di protezione possa essere installato su di essa. Altre funzionalità CWP sono attive su account che non soddisfano questi prerequisiti.

Prerequisiti dell’account

Questi requisiti si applicano a livello di account AWS. CWP li configura automaticamente durante l’onboarding quando viene utilizzata la variante del modello DHMC. Per gli account in cui DHMC non è stato configurato durante l’onboarding (o in precedenza), questi passaggi devono essere completati manualmente prima di abilitare la protezione della macchina virtuale.

•Aree supportate per la distribuzione della protezione

La distribuzione della protezione delle macchine virtuali può essere eseguita sulle istanze EC2 nelle seguenti aree AWS senza un’impostazione manuale aggiuntiva della Configurazione predefinita di gestione host (Default Host Management Configuration, DHMC):

Stati Uniti orientali (Ohio) – us-east-2

Stati Uniti orientali (Virginia settentrionale) – us-east-1

Stati Uniti occidentali (California settentrionale) – us-west-1

Stati Uniti occidentali (Oregon) – us-west-2

Asia Pacifico (Mumbai) – ap-south-1

Asia Pacifico (Seoul) – ap-northeast-2

Asia Pacifico (Singapore) – ap-southeast-1

Asia Pacifico (Sydney) – ap-southeast-2

Asia Pacifico (Tokyo) – ap-northeast-1

Canada (Centrale) – ca-central-1

Europa (Francoforte) – eu-central-1

Europa (Stoccolma) – eu-north-1

Europa (Irlanda) – eu-west-1

Europa (Londra) – eu-west-2

Europa (Parigi) – eu-west-3

Sud America (São Paulo) – sa-east-1

•L’istanza EC2 deve essere un’istanza gestita da SSM

CWP distribuisce il prodotto di protezione ESET tramite AWS Systems Manager (SSM). Affinché SSM raggiunga un’istanza EC2, tale istanza deve essere registrata come istanza gestita da SSM. Il metodo consigliato per garantire questo funzionamento per tutte le istanze in un account consiste nell’abilitare la Configurazione di gestione host predefinita (Default Host Management Configuration, DHMC), che registra automaticamente ogni istanza EC2 in un account e in un’area senza richiedere un profilo di istanza IAM dedicato su ciascuna di esse.

La funzione DHMC può essere abilitata per area nella console AWS in Systems Manager > Fleet Manager > Gestione account o a livello di organizzazione tramite la configurazione rapida di SSM. Per ulteriori informazioni, consultare la AWSdocumentazione di DHMC.

Requisiti a livello di macchina virtuale

Questi requisiti si applicano a ogni singola istanza EC2. Una volta eseguita la configurazione a livello di account, il prodotto di protezione può essere distribuito in un’istanza solo se soddisfa tutti i requisiti riportati di seguito.

•L’istanza EC2 deve disporre di un accesso a Internet in uscita

Ogni istanza EC2 destinata alla distribuzione della protezione deve disporre di un accesso a Internet in uscita. Istanze in sottoreti private senza un gateway NAT. Prima di poter effettuare la distribuzione della protezione, è necessario configurare l’accesso a Internet in uscita.

•L’istanza di SSM Agent deve essere installata e in esecuzione

AWS SSM comunica con le istanze EC2 tramite SSM Agent. La maggior parte delle AMI fornite da AWS(Amazon Linux, Ubuntu Server, Windows Server) include l’istanza di SSM Agent preinstallata. Per le AMI personalizzate o di terze parti, verificare che l’agente sia installato e in esecuzione.

Consultare la documentazione di AWS SSM Agent per le istruzioni di installazione e la procedura di verifica dello stato dell’agente su un’istanza in esecuzione.

Per disporre di una distribuzione funzionale della protezione sulle istanze EC2 per Linux in AWS, l’account o l’organizzazione protetti devono disporre di un’istanza di AWS System Manager abilitata e sulle istanze EC2 è necessario che sia installata l’istanza di SSM Agent.

•La macchina virtuale deve eseguire un sistema operativo supportato

CWP può distribuire il prodotto di protezione ESET solo su istanze su cui è in esecuzione una distribuzione del sistema operativo supportata. Per l’elenco completo delle distribuzioni del sistema operativo supportate, consultare il riferimento riportato di seguito.

•La macchina virtuale deve soddisfare i requisiti di sistema del prodotto di protezione

Ogni macchina virtuale destinata alla distribuzione della protezione deve soddisfare i requisiti hardware e software minimi per il prodotto di protezione ESET.

Windows Server

oProcessore: Intel o AMD single-core x64

oMemoria: 256 MB di RAM

oDisco rigido: 700 MB di spazio disponibile su disco

Linux

oProcessore: Intel/AMD x64 con 2 core (vCPU)

oMemoria: 2 GB di RAM

oDisco rigido: 700 MB di spazio disponibile su disco

oGlibc 2.28 o versioni successive

oKernel Linux versione 4.18 o successiva

oQualsiasi impostazione locale della codifica UTF-8

oL’avvio protetto deve essere disabilitato

oÈ necessario installare curl o wget

oaltri pacchetti dipendono da Live Installer, il quale richiede l’installazione delle proprie dipendenze/librerie per poter essere eseguito:

oglibc

olibgcc

oopenssl (libssl)

ocurl (libcurl)

otar

1.Vai a AWS CloudFormation > Stacks.

2.Individua lo stack CWP (il nome utilizzato durante la distribuzione; il nome predefinito è CWPP-Integration).

3.Fai clic sul nome dello stack.

4.Fare clic sul pulsante Rimuovi.

5.Fare clic su Elimina stack per confermare.

6.Attendere il completamento dell'eliminazione (controllare la scheda Eventi per monitorare l'operazione).

1.Vai a AWS S3 > Bucket.

2.Cerca i nomi dei bucket che iniziano con eset-cwpp-ct- seguito dall'ID del tuo account.

1.Vai alla console AWS Organizations.

2.Nel riquadro di spostamento selezionare Servizi.

3.Dall'elenco dei servizi, seleziona AWS CloudFormation StackSets.

4.Fare clic su Disabilita accesso attendibile e confermare l'azione.

5.Passare a IAM > Ruoli.

6.Individua ed elimina il ruolo collegato al servizio AWSServiceRoleForCloudFormationStackSetsOrgAdmin.

1.Passare alla console AWS Organizations.

2.Nel riquadro di spostamento selezionare Servizi.

3.Dall'elenco dei servizi, seleziona Systems Manager.

4.Fare clic sul pulsante Disabilita accesso attendibile.

5.Confermare l'azione quando richiesto.

1. Passa alla console AWS Organizations.

2.Nel riquadro di spostamento selezionare Servizi.

3.Dall'elenco dei servizi, selezionare QuickSetup.

4.Fare clic sul pulsante Disabilita accesso attendibile.

5.Conferma l'azione quando richiesto.

1.Passare a IAM > Ruoli.

2.Cerca AWS-QuickSetup-SSM-RoleForEnablingExplorer.

3.Quando lo trovi, fai clic sul nome del ruolo.

4.Fai clic sul pulsante Elimina ruolo.

5.Conferma eliminazione.

Potrebbero essere stati creati i seguenti ruoli collegati ai servizi:

AWSServiceRoleForAmazonSSM

ServiceRoleForAccountDiscoverySSM

AWSServiceRoleForSSMQuickSetup

Eliminare i ruoli specificati nello stesso modo in cui è stato eliminato il ruolo Explorer descritto nel passaggio precedente.

1.Passare a AWS Systems Manager > Fleet Manager.

2.Fare clic su Gestione account.

3.Disabilita l'opzione Abilita configurazione di gestione host predefinita se DHMC non è necessario oppure seleziona un ruolo IAM esistente se desideri continuare a utilizzare DHMC.

4.Fare clic su Configura per salvare le modifiche.

5.Ripeti questi passaggi in tutte le Regioni AWS.