GlobalBank beheert 40 AWS-accounts in AWS Organizations. Het beveiligingsteam heeft gecentraliseerde handhaving nodig, zodat: (1) alle internetgerichte ALBs een standaard AWS WAF web ACL hebben, (2) organisatiebrede security group-regels 0.0.0.0/0 voorkomen, behalve op goedgekeurde poorten, en (3) Shield Advanced is ingeschakeld op internetgerichte resources met DRT-toegang. Ze willen automatische toepassing op nieuwe accounts en resources. Wat moeten ze implementeren?

AWS Firewall Manager is de juiste keuze omdat het specifiek is ontworpen voor gecentraliseerd beheer en automatische toepassing van beveiligingsbeleid in een AWS Organization. Het kan WAF-web-ACL's, Shield Advanced-bescherming en security group-regels afdwingen over meerdere accounts en OU's, inclusief nieuwe accounts en resources. Service Control Policies (SCPs) zijn ongeschikt omdat ze alleen op machtigingsniveau werken en niet direct de configuratie van specifieke services zoals WAF of Shield Advanced kunnen afdwingen, noch security group-regels kunnen beheren. Ze kunnen het aanmaken van resources niet direct weigeren op basis van de aanwezigheid van WAF of specifieke security group-regels. AWS Config conformance packs kunnen non-compliant resources detecteren, maar ze bieden geen automatische afdwinging of remediëring. Ze informeren alleen over non-compliance. Amazon Inspector is een kwetsbaarheidsscanner en geen tool voor het afdwingen van beveiligingsbeleid zoals WAF-regels of Shield Advanced-activering. Het kan netwerkbereikbaarheid beoordelen, maar niet proactief de configuratie van security groups beheren op de manier die Firewall Manager dat doet.