[SEO 副标题]
本指南向您展示了如何将来自 Falco 的安全事件日志以接近实时的方式流式传输到 AWS Security Hub,以进行增强的分析。Falco 由云原生计算基金会(CNCF)提供,可在运行时检测容器的安全事件。本指南使用 FireLens 和 Fluent Bit 工具与 AWS 服务的集成,丰富了 Falco 生成的安全事件日志,并将其导入 AWS Security Hub。然后,您的安全和 DevOps 团队可以使用 Security Hub 管理门户集中查看来自所有容器应用程序的安全事件,以便分类和解决。
请注意:[免责声明]
架构图

-
基础设施
-
架构
-
基础设施
-
此架构图展示了如何设置本指南所需的 Amazon EKS 集群。要了解有关使用 CNCF Falco 和 AWS Security Hub 检测安全事件的更多信息,请打开架构选项卡。
可选
要部署本指南,您需要预置 Amazon Elastic Kubernetes Service(Amazon EKS)集群。这些步骤展示了如何使用其他项目预置 Amazon EKS集群。 -
架构
-
此架构图展示了如何使用 CNCF Falco 检测运行时安全事件,并将其发送到 AWS Security Hub 门户进行分类。 有关设置 Amazon EKS 集群的说明,请打开基础设施选项卡。
第 1 步
将 Fluent Bit 和 FireLens 日志事件聚合以及 CNCF Falco 安全监控组件部署到运行在不同 AWS 区域的 Amazon EKS 集群中。
Well-Architected 支柱

当您在云中构建系统时,AWS Well-Architected Framework 可以帮助您了解所做决策的利弊。框架的六大支柱使您能够学习设计和操作可靠、安全、高效、经济高效且可持续的系统的架构最佳实践。使用 AWS 管理控制台中免费提供的 AWS Well-Architected Tool,您可以通过回答每个支柱的一组问题,根据这些最佳实践来检查您的工作负载。
上面的架构图是按照 Well-Architected 最佳实践创建的解决方案示例。要做到完全的良好架构,您应该遵循尽可能多的 Well-Architected 最佳实践。
-
卓越运营
本指南通过调用 Security Hub 工作流程,近乎实时地响应与您的业务应用程序相关的安全威胁,从而提供卓越运营。与 Falco 一起使用的 Fluent Bit 和 FireLens 集成可将容器潜在的运行时安全违规信息发送到 CloudWatch 日志事件管理器。然后,Lambda 将其转换为 ASFF 并导入 Security Hub 门户,您的安全团队可在该门户中对其进行审查、分类和补救。
-
安全性
本指南使用 Falco 对运行在 Amazon EKS 应用程序上的容器进行持续扫描,以发现运行时安全事件。Falco 还会监控运行在 Amazon EKS 集群节点上的容器,以发现安全违规行为,并与 FireLens、CloudWatch 和 Lambda 相结合,将安全事件信息发送到 Security Hub,Security Hub 会进一步聚合安全事件日志,并显示它们,供您的安全团队审查和分类。然后,您可以使用 Security Hub 启动安全威胁补救工作流程。Amazon EKS 集群中使用的所有 IAM 策略都被限定为仅具有正常运行服务所需的最低权限。
-
可靠性
Amazon EKS 是一种企业级、可靠的 Kubernetes 应用程序服务,可在多个可用区内实现高可用性部署。CloudWatch 是一项日志事件管理服务,Lambda 是一项事件处理服务;这些服务共同摄取并生成可能影响应用可靠性的安全威胁的信息。Security Hub 可聚合并显示这些调查发现,以便您的安全和站点可靠性工程(SRE)团队能够快速应对威胁,从而大大降低因安全违规而导致应用程序故障的几率。
-
性能效率
本指南可为您的容器化应用程序平台(使用 Amazon EKS)和事件检测(使用 Falco、CloudWatch、Lambda)提供高效的可扩展性和性能。您还可以跨区域部署此安全监控解决方案,从而进一步帮助您避免安全威胁对性能造成负面影响。
-
成本优化
通过使用免费提供的开源服务 Falco,您可以降低安全事件监控的成本。CloudWatch、Lambda 和 Security Hub 根据摄取和处理的事件数据量收费。这些服务提供免费的数据存储和处理套餐级别,因此只有在超过该级别后才会产生费用。此外,CloudWatch 还提供日志自动存档功能,有助于降低消息存储成本。
-
可持续性
CloudWatch、Lambda 和 Security Hub 是无服务器服务,可自动扩展,以匹配工作负载需求并消除闲置资源,而 Amazon EKS 则提供了高弹性。通过使用这些托管的 AWS 服务以及在弹性 Amazon EKS 集群上运行的云原生技术,本指南可帮助您实现基础设施资源的高利用率,有助于最大限度地减少能源浪费。此外,本指南不需要定制硬件或物理服务器,通过使用本指南修复安全威胁,您可以进一步优化资源利用率。
免责声明
示例代码;软件库;命令行工具;概念验证;模板;或其他相关技术(包括由我方人员提供的任何前述项)作为 AWS 内容按照《AWS 客户协议》或您与 AWS 之间的相关书面协议(以适用者为准)向您提供。您不应将这些 AWS 内容用在您的生产账户中,或用于生产或其他关键数据。您负责根据特定质量控制规程和标准测试、保护和优化 AWS 内容,例如示例代码,以使其适合生产级应用。部署 AWS 内容可能会因创建或使用 AWS 可收费资源(例如,运行 Amazon EC2 实例或使用 Amazon S3 存储)而产生 AWS 费用。
本指南中提及第三方服务或组织并不意味着 Amazon 或 AWS 与第三方之间存在认可、赞助或从属关系。AWS 的指导是一个技术起点,您可以在部署架构时自定义与第三方服务的集成。