მთავარი დასკვნა
დაიწყეთ თითო რესურსზე მფლობელის დანიშვნით. შემდეგ შეზღუდეთ წვდომა, დაიცავით მონაცემები, აღრიცხეთ ცვლილებები და გამოსცადეთ აღდგენა.
მართეთ ანგარიშები და ვინაობები
აღრიცხეთ საწარმოო გარემოს, ტესტირებისა და ჟურნალების არქივისთვის გამოყენებული AWS ანგარიშები და თითოეულს ტექნიკური მფლობელი დაუნიშნეთ. ადამიანებს წვდომა ცენტრალიზებული ვინაობით მიეცით; დატვირთვებისთვის, სადაც შესაძლებელია, ხანგრძლივი გასაღებების ნაცვლად IAM როლები და დროებითი ავტორიზაციის მონაცემები გამოიყენეთ. ნებართვები როლის საჭიროებებით შეზღუდეთ, პრივილეგირებული წვდომისთვის მრავალფაქტორიანი ავთენტიფიკაცია მოითხოვეთ და გამოუყენებელი მომხმარებლები, როლები და გასაღებები განიხილეთ. ძირეულ მომხმარებელს ყოველდღიური სამუშაოსთვის ნუ გამოიყენებთ.
განიხილეთ მონაცემთა გამჟღავნება და რესურსებზე წვდომა
აღრიცხეთ მონაცემთა სენსიტიურობა და საჯარო წვდომის დასაბუთება. S3‑ისთვის განიხილეთ Block Public Access, საცავის პოლიტიკები და Object Ownership. Bucket owner enforced ACL‑ებს თიშავს; ACL‑ები მხოლოდ ჩართულ მდგომარეობაში შეამოწმეთ, განხილვისთვის მათი ჩართვის გარეშე. საჭირო გამონაკლისები დაადოკუმენტირეთ და მონაცემთა მფლობელის თანხმობა მიიღეთ. გადაამოწმეთ სენსიტიური მონაცემების დაშიფვრა შენახვისა და გადაცემისას და განსაზღვრეთ გასაღებების გამოყენებისა და ადმინისტრირების უფლებამოსილება. აპლიკაციის საიდუმლოებები წყაროს კოდის ნაცვლად დამტკიცებულ საიდუმლოებების მართვის სისტემაში შეინახეთ. დაშიფვრისა და გასაღებების პოლიტიკა კონკრეტული სერვისისთვის შეარჩიეთ; ერთი პარამეტრი AWS რესურსის ყველა რისკს არ ხსნის.
აღრიცხეთ ცვლილებები და აკონტროლეთ საბაზისო მდგომარეობა
CloudTrail-ით დაგეგმეთ AWS API აქტივობის აღრიცხვა და ჟურნალები ცენტრალურად მართულ არქივში გაგზავნეთ; აირჩიეთ გამოძიებისთვის საჭირო მოვლენათა ტიპები. AWS Config ან ეკვივალენტური კონტროლი გამოიყენეთ რესურსების კონფიგურაციების აღსარიცხად და დამტკიცებული საბაზისო მდგომარეობიდან გადახრის გამოსავლენად. განსაზღვრეთ გაფრთხილების მფლობელი და ესკალაციის გზა. აღრიცხვა თავისთავად ინციდენტს არ აჩერებს, ამიტომ ჟურნალების სისრულე, შენახვა, ძიებადობა და საოპერაციო გამოყენება ცალკე გადაამოწმეთ. მართვის მოვლენები არჩეული მონაცემთა მოვლენებისგან, მაგალითად S3 ობიექტების წაკითხვისა და ჩაწერისგან განასხვავეთ. აღრიცხვის ნაკადები და მოვლენათა მონაცემთა საცავები მონაცემთა მოვლენებს ნაგულისხმევად არ აღრიცხავს; გადაამოწმეთ საჭირო რესურსებისა და ოპერაციების მოვლენათა სელექტორები.
| კითხვა | შესამოწმებელი მტკიცებულება | რა რჩება გადასამოწმებელი |
|---|---|---|
| ადმინისტრაციული ცვლილება | მართვის მოვლენის ჩანაწერი | ანგარიშებისა და რეგიონების დაფარვა და შენახვა |
| ობიექტის წაკითხვა/ჩაწერა | არჩეული მონაცემთა მოვლენის ჩანაწერი | მოვლენათა სელექტორის დაფარვა |
| კონფიგურაციის გადახრა | კონფიგურაციის ისტორია ან საბაზისო მდგომარეობის მიგნება | მფლობელი და გამოსწორება |
| აღდგენა | აღდგენის შედეგი | დამოკიდებულებები და მიზნებთან შედარებული აღდგენის გაზომილი შედეგები |
დაიცავით დატვირთვები და აღდგენა
EC2‑ის მსგავსი IaaS რესურსებისთვის განსაზღვრეთ მომხმარებლის სამუშაო სტუმარი OS‑ის, აპლიკაციების, ქსელური წესებისა და შესწორებების მიმართულებით. აირჩიეთ სკანერი, რომელიც აქტივებს აღმოაჩენს და მოწყვლადობის მონაცემებს განაახლებს; მიგნებები პასუხისმგებელსა და განახლების დროის შუალედს დაუკავშირეთ, რადგან სკანირება სისუსტეს თავისთავად არ ასწორებს. გარემოები განხილული ინფრასტრუქტურის კოდის შაბლონებით ააგეთ, ცვლილებები განიხილეთ და შეამოწმეთ მოულოდნელი ღია პორტები, საჯარო საცავი, ჭარბი ნებართვები და მოძველებული პაკეტები. ასლები შეინახეთ იქ, სადაც ერთი ინციდენტი წყაროსა და ასლებს ერთად ნაკლებად დააზიანებს, და აღდგენაში ივარჯიშეთ. მართვად სერვისებზე პასუხისმგებლობა სერვისის მიხედვით განსხვავდება, ამიტომ მისი დოკუმენტაცია შეამოწმეთ.
დაგეგმეთ გამძლეობა და უსაფრთხო ცვლილება
კომპონენტების ხელმისაწვდომობის ზონებში განაწილებამ გაუმართაობის გავლენა მხოლოდ მაშინ შეიძლება შეამციროს, თუ აპლიკაცია, დამოკიდებულებები და მონაცემთა რეპლიკაცია ამისთვისაა დაპროექტებული. კრიტიკული სერვისებისთვის გამოცადეთ დამოკიდებულებები, ჯანმრთელობის შემოწმებები და ტრაფიკის გადართვა, სარეზერვო ასლები კი ცალკე დაიცავით. ზონებში განაწილება და რეპლიკაცია იზოლირებულ აღდგენის ასლებსა და გამოცდილი აღდგენის პროცესებს არ ცვლის. განიხილეთ ინფრასტრუქტურის შაბლონის ცვლილებები და უკან დაბრუნების გზა შეინარჩუნეთ. თითო სერვისისა და მონაცემთა კლასისთვის აღდგენის მიზნები დასახეთ და სავარჯიშოში გადაამოწმეთ.