Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Tema 2: Mengelola infrastruktur yang tidak dapat diubah melalui jaringan pipa yang aman
Esensi Delapan strategi tercakup
Kontrol aplikasi, aplikasi patch, sistem operasi patch
Untuk infrastruktur yang tidak dapat diubah, Anda harus mengamankan pipeline penyebaran untuk perubahan sistem. AWS Distinguished Engineer, Colm MacCárthaigh, menjelaskan prinsip ini dalam presentasi Operasi Tanpa Hak Istimewa: Menjalankan Layanan Tanpa Akses ke
Dengan membatasi akses langsung untuk mengonfigurasi AWS sumber daya, Anda dapat meminta agar semua sumber daya disebarkan atau diubah melalui jalur pipa yang disetujui, aman, dan otomatis. Biasanya, Anda membuat kebijakan AWS Identity and Access Management (IAM) yang memungkinkan pengguna mengakses hanya akun yang menghosting pipeline penerapan. Anda juga mengonfigurasi kebijakan IAM yang memungkinkan akses break-glass untuk sejumlah pengguna terbatas. Untuk mencegah perubahan manual, Anda dapat menggunakan grup keamanan untuk memblokir akses SSH dan protokol desktop Windows jarak jauh (RDP) ke server. Session Manager, kemampuan AWS Systems Manager, dapat menyediakan akses ke instance tanpa perlu membuka port masuk atau memelihara host bastion.
Amazon Machine Images (AMI) dan gambar kontainer harus dibuat dengan aman dan berulang. Untuk instans Amazon EC2, Anda dapat menggunakan EC2 Image Builder untuk AMIs build yang memiliki fitur keamanan bawaan, seperti penemuan instans, kontrol aplikasi, dan pencatatan. Untuk informasi selengkapnya tentang kontrol aplikasi, lihat Menerapkan Kontrol Aplikasi
Aplikasi harus didefinisikan dalam infrastruktur sebagai kode (IAc), dengan menggunakan layanan seperti AWS CloudFormationatau AWS Cloud Development Kit (AWS CDK). Alat analisis kode, seperti, cfn-nag AWS CloudFormation Guard, atau cdk-nag, dapat secara otomatis menguji kode terhadap praktik terbaik keamanan di pipeline Anda yang disetujui.
Seperti halnyaTema 1: Gunakan layanan terkelola, Amazon Inspector dapat melaporkan kerentanan di seluruh Anda. Akun AWS Tim cloud dan keamanan terpusat dapat menggunakan informasi ini untuk memverifikasi bahwa tim aplikasi memenuhi persyaratan keamanan dan kepatuhan.
Untuk memantau dan melaporkan kepatuhan, lakukan tinjauan berkelanjutan terhadap sumber daya dan log IAM. Gunakan AWS Config aturan untuk memastikan bahwa hanya disetujui yang AMIs digunakan, dan pastikan Amazon Inspector dikonfigurasi untuk memindai sumber daya Amazon ECR dari kerentanan.
Praktik terbaik terkait dalam Kerangka AWS Well-Architected
Menerapkan tema ini
Menerapkan AMI dan pipeline pembuatan kontainer
-
Gunakan EC2 Image Builder dan buat yang berikut ini ke dalam AMIs:
-
Untuk semua instans EC2, sertakan
AmazonSSMManagedInstanceCorekebijakanCloudWatchAgentServerPolicydan dalam profil instans atau peran IAM yang digunakan Systems Manager untuk mengakses instans Anda -
Menerapkan pipa pembuatan kontainer:
Menerapkan pipeline build aplikasi yang aman
-
Menerapkan pipeline build untuk IAc, seperti dengan menggunakan EC2 Image Builder dan AWS CodePipeline
(posting blog)AWS -
Gunakan alat analisis kode, seperti AWS CloudFormation Guard, cfn-nag
(GitHub), atau cdk-nag (GitHub), dalam CI/CD pipeline untuk membantu mendeteksi pelanggaran praktik terbaik, seperti: -
Kebijakan IAM yang terlalu permisif, seperti yang menggunakan wildcard
-
Aturan grup keamanan yang terlalu permisif, seperti yang menggunakan wildcard atau mengizinkan akses SSH
-
Akses log yang tidak diaktifkan
-
Enkripsi yang tidak diaktifkan
-
Literal kata sandi
-
-
Menerapkan alat pemindaian di saluran pipa
(posting AWS blog) -
Gunakan AWS Identity and Access Management Access Analyzer dalam pipeline
(posting AWS blog) untuk memvalidasi kebijakan IAM yang didefinisikan dalam template CloudFormation -
Konfigurasikan kebijakan IAM dan kebijakan kontrol layanan untuk akses dengan hak istimewa paling sedikit untuk menggunakan pipeline atau melakukan modifikasi apa pun padanya
Menerapkan pemindaian kerentanan
-
Gunakan Amazon Inspector untuk memindai AMIs di pipeline build AMI Anda:
-
Mengelola siklus hidup AMI di EC2
Image Builder () GitHub
-
-
Membangun program manajemen kerentanan untuk melakukan triase dan memulihkan temuan keamanan
Memantau tema ini
Memantau IAM dan log secara berkelanjutan
-
Tinjau kebijakan IAM Anda secara berkala untuk memastikan bahwa:
-
Hanya pipeline penyebaran yang memiliki akses langsung ke sumber daya
-
Hanya layanan yang disetujui yang memiliki akses langsung ke data
-
Pengguna tidak memiliki akses langsung ke sumber daya atau data
-
-
Pantau AWS CloudTrail log untuk mengonfirmasi bahwa pengguna memodifikasi sumber daya melalui saluran pipa dan tidak secara langsung memodifikasi sumber daya atau mengakses data
-
Tinjau secara berkala temuan IAM Access Analyzer
-
Siapkan peringatan untuk memberi tahu Anda jika kredensi pengguna root untuk sebuah digunakan Akun AWS
Menerapkan AWS Config aturan berikut
-
APPROVED_AMIS_BY_ID -
APPROVED_AMIS_BY_TAG -
ECR_PRIVATE_IMAGE_SCANNING_ENABLED
