მთავარი დასკვნა
ჯერ აქტივები და მფლობელები განსაზღვრეთ, შემდეგ IAM, ქსელის, საცავისა და ცვლილების პროცესები რისკის მიხედვით განიხილეთ.
შექმენით ხილვადობა და ანგარიშის მმართველობა
ერთ ადგილას აღრიცხეთ საწარმოო, სატესტო და დამხმარე AWS ანგარიშები, რეგიონები, რესურსის ტიპები და პასუხისმგებელი მფლობელები. განსაზღვრეთ ანგარიშებისა და რესურსების შექმნა და რეგულარულად განიხილეთ გამოუყენებელი ანგარიშები და მიტოვებული რესურსები. CloudTrail მოვლენები ცენტრალიზებულად შეაგროვეთ და თითო მიგნებას მფლობელი დაუნიშნეთ. AWS Config აღრიცხვა და წესის შეფასება ყველა არასწორ კონფიგურაციას პრევენციულად არ ბლოკავს. CloudTrail მონაცემთა მოვლენებს, მაგალითად S3 ობიექტის აქტივობას, აშკარა შერჩევა სჭირდება.
| კონტროლი | რას პასუხობს | გადასამოწმებელი დაფარვა |
|---|---|---|
| AWS Config | რესურსის კონფიგურაცია და შეფასებული წესები | მხარდაჭერილი რესურსის ტიპები, ჩამწერი, ანგარიშები და რეგიონები |
| CloudTrail | API და ანგარიშის აქტივობა | არჩეული მოვლენათა ტიპები, აღრიცხვის ნაკადები ან მოვლენათა მონაცემთა საცავები, შენახვა, ანგარიშები და რეგიონები |
| IAM და ქსელური კონტროლი | ვის შეუძლია მოქმედება და რომელ ტრაფიკს შეუძლია გავლა | ეფექტური პოლიტიკები, როლები და აშკარა ქსელური წესები |
დაავიწროვეთ IAM და ქსელური ნებართვები
ადამიანებისთვის ფედერირებული შესვლა და საჭირო MFA გამოიყენეთ, დატვირთვებისთვის კი შესაბამისი როლები ხანმოკლე ავტორიზაციის მონაცემებით. ხანგრძლივ წვდომის გასაღებებს მოერიდეთ; დარჩენილთა მფლობელი, გამოყენება და როტაციის საჭიროება განიხილეთ. პოლიტიკები თითო ამოცანისთვის საჭირო მოქმედებებითა და რესურსებით შეზღუდეთ. უსაფრთხოების ჯგუფებსა და ქსელურ ACL‑ებში ადმინისტრაციულ პორტებზე ინტერნეტწვდომა დაბლოკეთ; აუცილებელი გამონაკლისები ვიწრო წყაროსა და ვადის საზღვრებით აღწერეთ.
შეაფასეთ მონაცემთა გახსნილობა და დაშიფვრა
S3‑ისთვის ჯერ Object Ownership შეამოწმეთ: ახალი საცავები ACL‑ებს ნაგულისხმევად თიშავს, ამიტომ ACL‑ები მხოლოდ ჩართულ შემთხვევაში განიხილეთ. შეამოწმეთ Public Access Block და საცავის პოლიტიკები; საჯარო წაკითხვა ატვირთვის ან ჩაწერის უფლებას არ იძლევა. საჯარო წვდომა მხოლოდ მონაცემთა მფლობელის კონტროლით დამტკიცებული ბიზნესმიზნისთვის შეინარჩუნეთ. ახალი S3 ობიექტების ატვირთვა სერვერის მხარეს ნაგულისხმევ დაშიფვრას იღებს; მაინც გადაამოწმეთ საჭირო დაშიფვრისა და გასაღებების პოლიტიკები, ძველი მონაცემები, წვდომისა და ტრანსპორტის დაცვა. გასაღების მოვალეობები გამოყავით და როტაცია სერვისის მოთხოვნებს შეუსაბამეთ. ანაბეჭდებს, ჟურნალებსა და ასლებს იგივე წვდომისა და შენახვის წესები მიუყენეთ.
განიხილეთ ცვლილებები და გადაამოწმეთ გამოსწორება
ინფრასტრუქტურის კოდს უსაფრთხოების შემოწმებები დაუმატეთ, განხილვა და ცვლილების დამტკიცება შეინარჩუნეთ და, სადაც შესაძლებელია, კონფიგურაციები დამტკიცებულ საბაზისო მდგომარეობას შეადარეთ. მიგნებებს პრიორიტეტი სიმძიმით, ინტერნეტში გახსნილობით, მონაცემთა სენსიტიურობითა და ექსპლუატაციის ალბათობით მიანიჭეთ. ავტომატური გამოსწორება ჯერ საცდელ ანგარიშში გამოსცადეთ; საწარმოო გარემოში გავლენა დაადასტურეთ და შედეგი აღრიცხეთ. სკანირება პრობლემას ავლენს, მაგრამ გამოსწორება ცალკე უნდა გადამოწმდეს.
დაიცავით დანერგვის ჯაჭვები და გავრცელებული კონფიგურაციები
მოძებნეთ მოულოდნელი საჯარო პორტები EC2 უსაფრთხოების ჯგუფებში, დაუშვებელი საჯარო წაკითხვა S3‑ში, ფართო IAM Action/Resource ნებართვები და ეგზემპლარის მეტამონაცემთა სერვისამდე გზები. შეზღუდეთ CI/CD აგების ვინაობები, შეამოწმეთ კოდი და საიდუმლოებები და დაიცავით არტეფაქტები და გამოშვების თანხმობები. მიგნებები ინტერნეტში გახსნილობით, მონაცემთა სენსიტიურობითა და ნებართვის ფარგლებით შეაფასეთ; ერთი ზოგადი ქულა ყველა გარემოს არ ერგება.