As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Tema 2: gerenciar infraestrutura imutável por meio de pipelines seguros

Para uma infraestrutura imutável, você deve proteger os pipelines de implantação para alterações no sistema. AWS O ilustre engenheiro, Colm MacCárthaigh, explicou esse princípio na apresentação de Operações com privilégio zero: execução de serviços sem acesso a dados (YouTubevídeo) na conferência re:Invent de 2022. AWS

Ao restringir o acesso direto para configurar AWS recursos, você pode exigir que todos os recursos sejam implantados ou alterados por meio de pipelines aprovados, protegidos e automatizados. Normalmente, você cria políticas do AWS Identity and Access Management (IAM) que permitem que os usuários acessem apenas a conta que hospeda o pipeline de implantação. Você também configura políticas do IAM que permitem acesso de emergência a um número limitado de usuários. Para evitar alterações manuais, você pode usar grupos de segurança para bloquear o acesso SSH e via protocolo de desktop remoto (RDP) do Windows aos servidores. O Gerenciador de Sessões AWS Systems Manager, um recurso do, pode fornecer acesso às instâncias sem a necessidade de abrir portas de entrada ou manter os bastion hosts.

As imagens de máquina da Amazon (AMIs) e imagens de contêineres devem ser criadas com segurança e repetição. Para instâncias do Amazon EC2, você pode usar o EC2 Image Builder para criar AMIs que tenham recursos de segurança integrados, como descoberta de instâncias, controle de aplicativos e registro em log. Para obter mais informações sobre controle da aplicação, consulte Implementing Application Control no site do ACSC. Você também pode usar o Image Builder para criar imagens de contêineres e usar o Amazon Elastic Container Registry (Amazon ECR) para compartilhar essas imagens entre contas. Uma equipe de segurança central pode aprovar o processo automatizado para criar essas imagens AMIs e as imagens de contêiner, de forma que qualquer AMI ou imagem de contêiner resultante seja aprovada para uso pelas equipes de aplicativos.

As aplicações devem ser definidas na infraestrutura como código (IaC), usando serviços como o AWS CloudFormation ou o AWS Cloud Development Kit (AWS CDK). Ferramentas de análise de código AWS CloudFormation Guard, como cfn-nag ou cdk-nag, podem testar automaticamente o código de acordo com as melhores práticas de segurança em seu pipeline aprovado.

Assim como acontece com Tema 1: usar serviços gerenciados, o Amazon Inspector pode relatar vulnerabilidades em todas as suas Contas da AWS. As equipes centralizadas de nuvem e segurança podem usar essas informações para verificar se a equipe de aplicações está atendendo aos requisitos de segurança e conformidade.

Para monitorar e relatar a conformidade, realize análises contínuas dos recursos e logs do IAM. Use AWS Config regras para garantir que somente AMIs os aprovados sejam usados e certifique-se de que o Amazon Inspector esteja configurado para verificar se há vulnerabilidades nos recursos do Amazon ECR.

Melhores práticas relacionadas no AWS Well-Architected Framework

Implementação deste tema

Implemente a AMI e os pipelines de criação de contêineres

Implementar pipelines seguros de criação de aplicações

Implementar verificação de vulnerabilidades

Monitoramento deste tema

Monitorar o IAM e os logs continuamente

Implemente as seguintes AWS Config regras