Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Keamanan dan kepatuhan
Keamanan dan kepatuhan adalah tanggung jawab bersama antara AMS Advanced dan Anda, sebagai pelanggan kami. Mode AMS Advanced Direct Change tidak mengubah tanggung jawab bersama ini.
Keamanan dalam mode Perubahan Langsung
AMS Advanced menawarkan nilai tambahan dengan landing zone preskriptif, sistem manajemen perubahan, dan manajemen akses. Saat menggunakan mode Perubahan Langsung, model tanggung jawab ini tidak berubah. Namun, Anda harus mewaspadai risiko tambahan.
Peran “Perbarui” Mode Perubahan Langsung (lihatMode Perubahan Langsung peran dan kebijakan IAM) memberikan izin tinggi yang memungkinkan entitas mengaksesnya, untuk membuat perubahan pada sumber daya infrastruktur layanan yang didukung AMS dalam akun Anda. Dengan izin yang tinggi, beragam risiko ada tergantung pada sumber daya, layanan, dan tindakan, terutama dalam situasi di mana perubahan yang salah dibuat karena pengawasan, kesalahan, atau kurangnya kepatuhan terhadap proses internal dan kerangka kontrol Anda.
Sesuai Standar Teknis AMS, risiko berikut telah diidentifikasi dan rekomendasi dibuat sebagai berikut. Informasi terperinci tentang Standar Teknis AMS tersedia melalui AWS Artifact. Untuk mengakses AWS Artifact, hubungi CSDM Anda untuk instruksi atau pergi ke Memulai
AMS-STD-001: Penandaan
| Standar | Apakah itu rusak | Risiko | Rekomendasi |
|---|---|---|---|
| Semua sumber daya yang dimiliki AMS harus memiliki pasangan nilai kunci berikut | Ya. Istirahat untuk CloudFormationCloudTrail,, EFS OpenSearch,, CloudWatch Logs, SQS, SSM, Tagging api - karena layanan ini tidak mendukung Standar yang diberikan dalam tabel AMS-STD-003, berikut, menyatakan bahwa Anda dapat mengubah, Lingkungan dan AppId AppName, tetapi tidak untuk sumber daya milik AMS. Tidak dapat dicapai melalui izin IAM. |
Penandaan sumber daya AMS yang salah dapat berdampak buruk pada operasi pelaporan, peringatan, dan penambalan sumber daya Anda, di sisi AMS. | Akses harus dibatasi untuk membuat perubahan apa pun pada persyaratan penandaan default AMS untuk siapa pun selain tim AMS. |
Semua tag milik AMS selain yang tercantum di atas harus memiliki awalan seperti AMS* atau dalam kasus. MC* upper/lower/mix | |||
| Tag apa pun pada tumpukan milik AMS tidak boleh dihapus berdasarkan permintaan perubahan Anda. | Ya. CloudFormation tidak mendukung aws:TagsKey kondisi untuk membatasi tag untuk namespace AMS. | ||
| Anda tidak diizinkan untuk menggunakan konvensi penamaan tag AMS di infrastruktur Anda seperti yang disebutkan dalam tabel AMS-STD-002, selanjutnya. | Ya. Istirahat untuk CloudFormation CloudTrail, Amazon Elastic File System (EFS), OpenSearch, CloudWatch Log, Amazon Simple Queue Service (SQS), Amazon EC2 Systems Manager (SSM), API Tagging; layanan ini tidak aws:TagsKey mendukung kondisi untuk membatasi penandaan pada namespace AMS. |
AMS-STD-002: Identity and Access Management (IAM)
| Standar | Apakah itu rusak | Risiko | Rekomendasi |
|---|---|---|---|
| 4.7 Tindakan, yang melewati proses manajemen perubahan (RFC), tidak boleh diizinkan seperti memulai atau menghentikan instance, pembuatan bucket S3 atau instans RDS, dan sebagainya. Akun mode pengembang dan layanan mode Penyediaan Layanan Mandiri (SSPS) dikecualikan selama tindakan dilakukan dalam batas-batas peran yang ditugaskan. | Ya. Tujuan tindakan layanan mandiri memungkinkan Anda melakukan tindakan melewati sistem AMS RFC. |
Model akses aman adalah aspek teknis inti AMS dan pengguna IAM untuk konsol atau akses terprogram menghindari kontrol akses ini. Akses pengguna IAM tidak dipantau oleh manajemen perubahan AMS. Akses CloudTrail hanya login. | Pengguna IAM harus dibatasi waktu dan diberikan izin berdasarkan hak istimewa paling sedikit dan. need-to-know |
AMS-STD-003: Keamanan Jaringan
| Standar | Apakah itu rusak | Risiko | Rekomendasi |
|---|---|---|---|
| S2. IP elastis pada EC2 instans harus digunakan hanya dengan perjanjian penerimaan risiko formal, atau dengan kasus penggunaan yang valid oleh tim internal. | Ya. Tindakan layanan mandiri memungkinkan Anda untuk mengaitkan dan memisahkan alamat IP elastis (EIP). |
Menambahkan IP elastis ke sebuah instance memaparkannya ke Internet. Hal ini meningkatkan risiko pengungkapan informasi dan aktivitas yang tidak sah. | Blokir lalu lintas yang tidak perlu ke instans itu melalui grup keamanan, dan verifikasi bahwa grup keamanan Anda dilampirkan dengan instans untuk memastikan bahwa itu memungkinkan lalu lintas hanya sesuai kebutuhan untuk alasan bisnis. |
| S14. VPC Peering dan koneksi endpoint antar akun milik pelanggan yang sama dapat diizinkan. | Ya. Tidak mungkin melalui kebijakan IAM. |
Lalu lintas yang meninggalkan akun AMS Anda tidak dipantau setelah keluar dari batas akun. | Kami merekomendasikan mengintip hanya dengan akun AMS yang Anda miliki. Jika kasus penggunaan Anda mengharuskan ini, gunakan grup keamanan dan tabel rute untuk membatasi rentang lalu lintas, sumber daya, dan jenis apa yang dapat keluar melalui koneksi yang relevan. |
| Basis AMS AMIs dapat dibagi antara akun yang dikelola AMS dan tidak dikelola selama kami dapat memverifikasi bahwa akun tersebut dimiliki oleh organisasi yang sama. AWS | AMIs mungkin berisi data sensitif dan mungkin terpapar ke akun yang tidak diinginkan. | Bagikan hanya AMIs dengan akun yang dimiliki oleh organisasi Anda atau validasi kasus penggunaan dan informasi akun sebelum berbagi di luar organisasi. |
AMS-STD-007: Penebangan
| Standar | Apakah itu rusak | Risiko | Rekomendasi |
|---|---|---|---|
| 19. Setiap log dapat diteruskan dari satu akun AMS ke akun AMS lain dari pelanggan yang sama. | Ya. Potensi ketidakamanan untuk log pelanggan karena verifikasi akun pelanggan berada di organisasi yang sama tidak dapat dicapai melalui kebijakan IAM. |
Log mungkin berisi data sensitif dan mungkin terpapar ke akun yang tidak diinginkan. | Bagikan log hanya dengan akun yang dikelola oleh AWS Org Anda, atau validasi kasus penggunaan dan informasi akun sebelum berbagi di luar organisasi Anda. Kami dapat memverifikasi ini melalui berbagai cara, periksa dengan manajer pengiriman layanan cloud (CSDM) Anda. |
| 20. Setiap log dapat diteruskan dari AMS ke akun non-AMS hanya jika akun non-AMS dimiliki oleh pelanggan AMS yang sama (dengan mengonfirmasi bahwa mereka berada di bawah AWS Organizations akun yang sama atau dengan mencocokkan domain email dengan nama perusahaan pelanggan dan akun terkait PAYER) menggunakan alat internal. |
Bekerja dengan tim otorisasi dan otentikasi internal Anda untuk mengontrol izin ke peran mode Perubahan Langsung yang sesuai.
Kepatuhan dalam mode Perubahan Langsung
Mode Perubahan Langsung kompatibel dengan beban kerja produksi dan non-produksi. Anda bertanggung jawab untuk memastikan kepatuhan terhadap standar kepatuhan apa pun (misalnya, PHI, HIPAA, PCI), dan untuk memastikan bahwa penggunaan mode Perubahan Langsung sesuai dengan kerangka kerja dan standar kontrol internal Anda.
