aws-security-assessment-solution

>Nota: La opción `--s3-bucket` es obligatoria porque la plantilla supera los 51.200 bytes, el máximo que CloudFormation acepta en línea. `$TEMPLATE_BUCKET` es el bucket de staging creado en los pasos de despliegue de CloudShell anteriores. Se aplica a todos los ejemplos de `aws cloudformation deploy` de este README.

Las comprobaciones se añaden con frecuencia; para ver las últimas comprobaciones, ejecute el comando `prowler aws --list-checks`. A continuación se proporciona un ejemplo para cada nivel de comprobación.

### Escaneo básico
Para ver una lista de comprobaciones, revise [comprobaciones básicas](https://github.com/awslabs/aws-security-assessment-solution/blob/main/checks/basic_checks.txt).

- Comprobación manual - Mantener los datos de contacto actualizados.
- Buscar runtimes de Lambda obsoletos.
- Asegurarse de que CloudTrail está habilitado en todas las regiones
- Asegurarse de que AWS Config está habilitado en todas las regiones.
- Asegurarse de que ningún grupo de seguridad permite la entrada desde 0.0.0.0/0 o ::/0 a ningún puerto.
- Comprobar si GuardDuty está habilitado
- Asegurarse de que la política de contraseñas de IAM requiere al menos una letra minúscula
- Asegurarse de que la política de contraseñas de IAM requiere al menos un número
- Asegurarse de que la política de contraseñas de IAM requiere al menos un símbolo
- Asegurarse de que la política de contraseñas de IAM requiere al menos una letra mayúscula
- Asegurarse de que MFA está habilitado para la cuenta raíz
- Asegurarse de que las claves de acceso se rotan cada 90 días o menos
- Asegurarse de que no hay buckets de S3 abiertos a Todos o a Cualquier usuario de AWS.

### Escaneo intermedio
Para ver una lista de comprobaciones, revise [comprobaciones intermedias](https://github.com/awslabs/aws-security-assessment-solution/blob/main/checks/intermediate_checks.txt).

Este escaneo añadirá `--severity critical high` a las opciones de escaneo de Prowler. Con esta opción seleccionada, Prowler ejecutará todas las comprobaciones de seguridad que resulten en severidad crítica o alta.

### Escaneo completo
Para ver una lista de comprobaciones, revise [comprobaciones completas](https://github.com/awslabs/aws-security-assessment-solution/blob/main/checks/full_checks.txt).

Esta opción no añade ningún parámetro adicional al escaneo de Prowler. Dará como resultado que Prowler ejecute más de 650 comprobaciones.

También puede usar el escaneo completo para personalizar el escaneo como desee.

Para **ProwlerScanType** elija **Full**.

Para **ProwlerOptions**, añada la comprobación. Por ejemplo, para comprobar solo si GuardDuty está habilitado, introduzca:

`aws --ignore-exit-code-3 -c guardduty_is_enabled`

### Comprobaciones de secretos
Por defecto, SATv2 omite las 23 comprobaciones de Prowler que buscan secretos codificados de forma rígida en el contenido de los recursos. Cubren el código de Lambda, las capas y las variables de entorno, las imágenes de ECR, los repositorios de CodeCommit, los eventos de registro de CloudWatch, los datos de usuario y las plantillas de lanzamiento de EC2, las salidas de CloudFormation y la configuración de Amplify, API Gateway, Batch, CodeBuild, Data Pipeline, ECS, Elastic Beanstalk, Glue, SageMaker, documentos de SSM y Step Functions. La lista completa es el mapeo `ProwlerExclusions` de la plantilla.

Estas comprobaciones descargan el contenido de los recursos, como el código de las funciones y las capas de las imágenes de contenedor, en el entorno de CodeBuild. Sus hallazgos pueden incluir fragmentos de lo que coincidió. Omitirlas mantiene ese contenido fuera del escaneo y de los informes, y acorta el escaneo.

La exclusión se aplica a todos los tipos de escaneo y se añade al comando de Prowler con `-e`. Las listas de comprobaciones de la carpeta [checks](https://github.com/awslabs/aws-security-assessment-solution/blob/main/checks) siguen incluyendo estas comprobaciones, porque se ejecutan cuando ExcludeSecretsChecks es false. Otras comprobaciones de la categoría `secrets` de Prowler, como IMDSv2, la rotación de claves de acceso y la rotación de Secrets Manager, comprueban la configuración en lugar del contenido y siguen ejecutándose.

Para ejecutar las comprobaciones de secretos, establezca ExcludeSecretsChecks en false:```bash
aws cloudformation deploy --template-file 2-sat2-codebuild-prowler.yaml \
--stack-name sat2-prowler \
--capabilities CAPABILITY_NAMED_IAM \
--s3-bucket $TEMPLATE_BUCKET \
--parameter-overrides ExcludeSecretsChecks=false

Con o sin el parámetro opcional EmailAddress establecido, puedes ver el progreso en la consola de CodeBuild.
1. Navega a la [consola de CodeBuild](https://console.aws.amazon.com/codesuite/).

2. En el panel de navegación, en **Build**, elige **Build projects**.

3. Elige el proyecto de compilación que comienza con **ProwlerCodeBuild-**.

4. En Build history, verás la última ejecución.

    ![Proyecto de CodeBuild](https://assets.kitploit.com/production/public/readmes/5740/8bda906594bdae19dafcf41fbca6f8ae8379520744bc536cf3443cb5a961b233.png)

5. Opcionalmente, puedes elegir **Start build** para ejecutar otro escaneo con las opciones que elijas cuando desplegaste la solución.

## Resumen de informes

Opcionalmente, puedes habilitar los informes para resumir múltiples resultados de escaneos de Prowler en un único archivo. Esto puede ser útil cuando se ejecuta Prowler en múltiples cuentas en una AWS Organization. La función de resumen de informes está desactivada por defecto. Para habilitar los informes, establece el parámetro Reporting en true cuando despliegues la plantilla de CloudFormation. Esto creará un WorkGroup de Athena, una tabla de Glue y ejecutará automáticamente una consulta para consolidar los resultados. El archivo csv resumido se encuentra en el mismo bucket de S3 que los resultados de Prowler, en la carpeta /reports.

Si especificas una dirección de correo electrónico mientras los informes están habilitados, recibirás un segundo correo electrónico cuando finalice la consulta de Athena.

### Cómo se construye la tabla de Athena

Athena consulta la copia en `parquet/` de los hallazgos en lugar del CSV de Prowler. El proyecto de CodeBuild convierte cada CSV a Parquet antes de subirlo, y la tabla de Glue `prowler` apunta a `parquet/`.

La conversión existe porque Prowler 5.17.0 y versiones posteriores incluyen markdown multilínea en los metadatos de sus comprobaciones, por lo que los campos `DESCRIPTION`, `RISK` y `REMEDIATION_*` contienen saltos de línea. Prowler entrecomilla esos campos correctamente, pero Athena lee el CSV a través del `TextInputFormat` de Hive, que divide los registros por saltos de línea antes de que se ejecute cualquier SerDe. Por lo tanto, una tabla respaldada por CSV devuelve una fila por línea física en lugar de una fila por hallazgo, y descarta silenciosamente las columnas que siguen al primer campo multilínea. Parquet no utiliza saltos de línea como límites de registro, por lo que el texto se conserva intacto. Parquet también comprime en gran medida el texto de remediación repetido, lo que abarata las consultas: un conjunto de CSV de 116 MB se convierte en aproximadamente 3 MB de Parquet.

La carpeta `csv/` se deja exactamente como la escribió Prowler, por lo que el panel de Prowler y cualquier herramienta existente de CSV siguen funcionando.

### Historial de escaneos y duplicados

La tabla está particionada por `scan_date` **y** `scan_time`, por lo que cada ejecución de la solución obtiene su propia partición. De esto se derivan dos cosas:

- El CSV consolidado en `/reports` cubre solo la ejecución más reciente, por lo que volver a ejecutar la solución nunca duplica el recuento de hallazgos, y los hallazgos que ya no existen no permanecen en el informe.
- Las ejecuciones anteriores siguen siendo consultables. `scan_date` y `scan_time` son columnas normales, por lo que puedes comparar resultados entre ejecuciones. La consulta guardada **Prowler scan trend** hace esto, una fila por ejecución.

Particionar solo por la fecha no es suficiente. Un segundo escaneo el mismo día escribiría en la misma partición, y sus hallazgos se fusionarían con los de la ejecución anterior en lugar de reemplazarlos. Cualquier hallazgo que el escaneo más reciente ya no reporte, porque se eliminó un recurso, una cuenta abandonó la organización, un rol de miembro dejó de funcionar o se restringió el tipo de escaneo, seguiría apareciendo en el informe y parecería actual.

Las nuevas particiones se registran automáticamente: la Lambda de informes ejecuta `MSCK REPAIR TABLE` antes de ejecutar la consulta de consolidación, por lo que no hay ningún crawler que programar ni nada que añadir manualmente.

Si escribes tus propias consultas de Athena, restíngelas a una sola ejecución o agregarás todos los escaneos del bucket a la vez. Ambas claves son de ancho fijo, por lo que compararlas concatenadas ordena las ejecuciones cronológicamente:```sql
SELECT severity, count(*)
FROM "{bucket_name}"."prowler"
WHERE status = 'FAIL'
  AND concat(scan_date, scan_time) = (
      SELECT max(concat(scan_date, scan_time)) FROM "{bucket_name}"."prowler"
  )
GROUP BY severity

![diagrama de arquitectura de informes](https://assets.kitploit.com/production/public/readmes/5740/dec216293979361dd2f4945bdd6b8bfda3622096d3ceebefe140a62c6806e336.png)

Se crean dos consultas guardadas como ejemplos:

| Consulta guardada            | Qué muestra                                                            |
| ---------------------------- | ---------------------------------------------------------------------- |
| Prowler organization summary | Comprobaciones fallidas en todas las cuentas evaluadas, para el escaneo más reciente. |
| Prowler scan trend           | Comprobaciones fallidas por fecha de escaneo y severidad, para comparar ejecuciones a lo largo del tiempo. |

Para revisar y ejecutar una consulta, siga estos pasos:

1. Navegue a la consola de Amazon Athena.
2. Elija el grupo de trabajo que comienza con sat2-prowler-*.
3. Elija la pestaña **Saved queries**.
4. Seleccione la consulta que desea ejecutar eligiendo el **ID**.

    ![Consulta guardada de Athena](https://assets.kitploit.com/production/public/readmes/5740/1fb2b968b921f29ad790143986537266ea02ce42b454d997aa0f42171937b08f.png)

5. Elija **Run** para ejecutar la consulta.

    ![Resultados de la consulta guardada de Athena](https://assets.kitploit.com/production/public/readmes/5740/e8f75e80b66ffec78796072e0f6a85f9b7f5716b21f24a21d3a568c0c8bdbb5b.png)

## Preguntas frecuentes (FAQ)

1.	¿Tiene algún costo?
    + Esta solución está diseñada para ejecutarse dentro del [AWS Free Tier](https://aws.amazon.com/free/?all-free-tier.sort-by=item.additionalFields.SortRank&all-free-tier.sort-order=asc&awsf.Free%20Tier%20Types=*all&awsf.Free%20Tier%20Categories=*all).
    + Para [Amazon CodeBuild](https://aws.amazon.com/free/devops/?p=ft&z=subnav&loc=3), los clientes obtienen 100 minutos de compilación por mes.
    + Para los clientes que ya han excedido el nivel gratuito con CodeBuild, S3 y Lambda, esta solución cuesta menos de $1 ejecutarla.
2.	¿Es esta una herramienta de monitoreo e informes continuos?
     + No. Esta es una evaluación única; recomendamos a los clientes usar [AWS Security Hub](https://aws.amazon.com/security-hub/) para evaluaciones continuas.
3.	¿Se integra con GuardDuty, Security Hub, CloudWatch, etc.?
    + No. Puede seguir las instrucciones de [este blog](https://aws.amazon.com/blogs/security/use-aws-fargate-prowler-send-security-configuration-findings-about-aws-services-security-hub/) para integrar Prowler y Security Hub.
4.	¿Cómo remedio los problemas en los informes?
    + Generalmente, los problemas deben describirse en el informe con correcciones fácilmente identificables. Consulte también la documentación pública de cada herramienta (Prowler). Si esto es insuficiente, comuníquese con su equipo de cuenta de AWS o con [AWS Support](https://aws.amazon.com/contact-us/) para que le ayuden a comprender los informes y a trabajar en la remediación de los problemas.
5.  ¿Qué hallazgos reporta Prowler para SATv2?
    | Comprobación                                                                             | Mitigación                                                                                                                                                                                                                              |
    | --------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
    | Comprobar si las operaciones de API invocadas por funciones Lambda están siendo registradas por CloudTrail. | CloudTrail es una configuración a nivel de cuenta de AWS. CloudTrail debe habilitarse independientemente de SATv2.                                                                                                                                    |
    | Habilitar la protección contra terminación para las pilas de Cloudformation                           | SATv2 está diseñado para ejecutarse en un momento determinado y luego eliminarse. Si la pila se termina, los hallazgos aún se conservan en el bucket de S3.                                                                                        |
    | Comprobar si los grupos de logs de CloudWatch están protegidos por AWS KMS.                          | Los datos de los grupos de logs siempre están cifrados en CloudWatch Logs. De forma predeterminada, CloudWatch Logs utiliza cifrado del lado del servidor para los datos de logs en reposo. No se configura una clave KMS administrada por el cliente para ahorrar costos.                                   |
    | Comprobar si los grupos de logs de CloudWatch tienen una política de retención de días específicos.          | La retención de los grupos de logs está establecida en 7 días por diseño. Esta comprobación busca grupos de logs con una retención inferior a un año.                                                                                                                        |
    | Comprobar si los buckets de S3 tienen el cifrado KMS habilitado.                                  | Todos los buckets de Amazon S3 tienen el cifrado configurado de forma predeterminada, y los objetos se cifran automáticamente mediante el cifrado del lado del servidor con claves administradas por Amazon S3 (SSE-S3). No se configura una clave KMS administrada por el cliente para ahorrar costos. |
    | Comprobar si MFA Delete está habilitado en el bucket de S3.                                     | Los resultados de la evaluación de Prowler se pueden regenerar y no requieren MFA delete.                                                                                                                                                            |
    | Comprobar si los buckets de S3 tienen el bloqueo de objetos habilitado                                      | Los resultados de la evaluación de Prowler se pueden regenerar y no requieren el bloqueo de objetos de S3.                                                                                                                                                        |
    | Comprobar si los buckets de S3 tienen habilitado el registro de acceso al servidor                            | Los resultados de la evaluación de Prowler no requieren el registro de acceso al servidor.                                                                                                                                                                        |

## Limpieza
Después de ejecutar la solución, debe eliminar las pilas de CloudFormation para eliminar los recursos que ya no son necesarios. El bucket de S3 con los resultados del escaneo de Prowler permanecerá.

Para eliminar la solución de evaluación de seguridad de su cuenta, siga estos pasos.

1. Navegue a la [consola de AWS CloudFormation](https://console.aws.amazon.com/cloudformation) en la cuenta desde la que ejecutó la herramienta (ProwlerAccountID).

2. En el panel de navegación, elija **Stacks**.

3. Elija la pila **sat2-prowler**.

4. Elija **Delete**.

Si implementó el StackSet de rol de miembro para escanear varias cuentas, siga estos pasos.

1. Navegue a la [consola de AWS CloudFormation](https://console.aws.amazon.com/cloudformation) en la cuenta donde creó el StackSet de rol de miembro.

2. En el panel de navegación, elija **StackSets**.

3. Elija el StackSet **sat2-member-roles**.

4. Elija **Actions**, luego **Delete stacks form StackSet**.

5. Especifique el mismo **AWS OU ID** que cuando creó el StackSet.

6. Para **Specify regions**, elija **Add all regions**.

7. Elija **Next** y **Submit**.

Una vez que finalice el cambio, puede eliminar el StackSet.

1. Elija el StackSet **sat2-member-roles**.

2. Elija **Actions**, luego **Delete StackSet**.

Si desea eliminar el bucket de Amazon S3 con los resultados del escaneo, siga los pasos de la [guía del usuario de Amazon S3](https://docs.aws.amazon.com/AmazonS3/latest/userguide/delete-bucket.html) para eliminar los objetos y el bucket. Si ejecuta la solución nuevamente, se creará un nuevo bucket de S3 para sus resultados.

## Seguridad

Consulte [CONTRIBUTING](https://github.com/awslabs/aws-security-assessment-solution/blob/main/CONTRIBUTING.md#security-issue-notifications) para obtener más información.

## Licencia

Este proyecto está licenciado bajo la Licencia Apache-2.0.