Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Tema 2: gestión de la infraestructura inmutable mediante canalizaciones seguras

Para una infraestructura inmutable, debe proteger los canales de despliegue para los cambios en el sistema. AWS El distinguido ingeniero Colm Maccárthaigh explicó este principio en la presentación (YouTubevídeo) de operaciones sin privilegios: ejecución de servicios sin acceso a los datos en la conferencia re:Invent de 2022. AWS

Al restringir el acceso directo para configurar AWS los recursos, puede exigir que todos los recursos se desplieguen o modifiquen mediante procesos aprobados, seguros y automatizados. Por lo general, se crean políticas de AWS Identity and Access Management (IAM) que permiten a los usuarios acceder solo a la cuenta que aloja la canalización de la implementación. También se configuran las políticas de IAM que permiten el acceso de emergencia a un número limitado de usuarios. Para evitar cambios manuales, puede utilizar los grupos de seguridad para bloquear el acceso a los servidores mediante SSH y el protocolo de escritorio remoto (RDP) de Windows. El administrador de sesiones, una capacidad de AWS Systems Manager, puede proporcionar acceso a las instancias sin necesidad de abrir puertos de entrada ni mantener los hosts bastiones.

Las imágenes de máquina de Amazon (AMI) y las imágenes de contenedor se deben crear de manera segura y repetible. En el caso de las instancias de Amazon EC2, puede utilizar EC2 Image Builder para AMIs compilarlas con funciones de seguridad integradas, como la detección de instancias, el control de aplicaciones y el registro. Para más información acerca del control de aplicaciones, consulte Implementing Application Control en el sitio web de ACSC. También puede utilizar el Generador de imágenes para crear imágenes de contenedores y puede utilizar Amazon Elastic Container Registry (Amazon ECR) para compartirlas entre cuentas. Un equipo de seguridad central puede aprobar el proceso automatizado para crear estas imágenes AMIs y las de contenedores, de modo que cualquier AMI o imagen de contenedor resultante esté aprobada para su uso por parte de los equipos de aplicaciones.

Las aplicaciones deben definirse en la infraestructura como código (IaC), mediante el uso de servicios como AWS CloudFormation o AWS Cloud Development Kit (AWS CDK). Las herramientas de análisis de código AWS CloudFormation Guard, como cfn-nag o cdk-nag, pueden comparar automáticamente el código con las mejores prácticas de seguridad aprobadas.

Al igual que con Tema 1: uso de servicios administrados, Amazon Inspector puede informar sobre las vulnerabilidades en sus Cuentas de AWS. Los equipos centralizados de la nube y seguridad pueden utilizar esta información para verificar que el equipo de aplicaciones satisface los requisitos de seguridad y cumplimiento normativo.

Para supervisar el cumplimiento e informar al respecto, haga revisiones continuas de los recursos y registros de IAM. Utilice AWS Config reglas para asegurarse de que solo se AMIs utilizan los aprobados y asegúrese de que Amazon Inspector esté configurado para analizar los recursos de Amazon ECR en busca de vulnerabilidades.

Mejores prácticas relacionadas en el AWS Well-Architected Framework

Implementación de este tema

Implementación de canalizaciones de creación de contenedores y AMI

Implementación de canalizaciones seguras para la creación de aplicaciones

Implementación del escaneo de vulnerabilidades

Supervisión de este tema

Supervisión de IAM y registros de manera continua

Implemente las siguientes reglas AWS Config