SEC11-BP07 Regelmäßiges Bewerten von Sicherheitseigenschaften der Pipelines - AWS Well-Architected Framework
Implementierungsleitfaden Ressourcen

SEC11-BP07 Regelmäßiges Bewerten von Sicherheitseigenschaften der Pipelines

Wenden Sie die Prinzipien der Well-Architected-Säule „Sicherheit“ bei Ihren Pipelines an und achten Sie dabei besonders auf die Trennung von Berechtigungen. Bewerten Sie die Sicherheitseigenschaften Ihrer Pipeline-Infrastruktur regelmäßig. Durch eine effektive Verwaltung der Pipeline-Sicherheit können Sie die Sicherheit der Software sicherstellen, die diese Pipelines durchläuft.

Gewünschtes Ergebnis: Für die Pipelines, die zum Entwickeln und Bereitstellen Ihrer Software verwendet werden, sollten die gleichen empfohlenen Praktiken verwendet werden wie für jede andere Workload in Ihrer Umgebung. Die in den Pipelines implementierten Tests sollten nicht von Entwicklern bearbeitet werden können, die sie verwenden. Die Pipelines sollten nur über Berechtigungen für die Bereitstellungen verfügen, die sie durchführen, und sie sollten Sicherheitsmaßnahmen implementieren, um Bereitstellungen in den falschen Umgebungen zu verhindern. Pipelines sollten sich nicht auf langfristige Anmeldeinformationen verlassen und sie sollten so konfiguriert sein, dass sie den Zustand ausgeben, um die Integrität der Entwicklungsumgebung validieren zu können.

Typische Anti-Muster:

  • Sicherheitstests können von Entwicklern umgangen werden.

  • Berechtigungen für Bereitstellungs-Pipelines sind übermäßig weit gefasst.

  • Pipelines sind nicht für die Validierung von Eingaben konfiguriert.

  • Berechtigungen im Zusammenhang mit Ihrer CI/CD-Infrastruktur werden nicht regelmäßig überprüft.

  • Langfristige oder fest codierte Anmeldeinformationen werden verwendet.

Vorteile der Nutzung dieser bewährten Methode:

  • Größeres Vertrauen in die Integrität der Software, die über die Pipelines entwickelt und bereitgestellt wird.

  • Eine Bereitstellung kann angehalten werden, wenn es verdächtige Aktivitäten gibt.

Risikostufe, wenn diese bewährte Methode nicht eingeführt wird: Hoch

Implementierungsleitfaden

Durch die Verwendung von CI/CD-Services, die IAM-Rollen unterstützen, wird das Risiko von Anmeldeinformationslecks verringert. Durch Anwendung der Prinzipien der Säule „Sicherheit“ auf Ihre CI/CD-Pipeline-Infrastruktur können Sie bestimmen, wo Sicherheitsverbesserungen durchgeführt werden können. Die Referenzarchitektur für AWS-Bereitstellungs-Pipelines ist ein guter Ausgangspunkt für die Erstellung eigener CI/CD-Umgebungen. Regelmäßige Überprüfungen der Pipeline-Implementierung und Untersuchungen von Protokollen auf unerwartetes Verhalten können Ihnen dabei helfen, die Verwendungsmuster der Pipelines, die zum Bereitstellen der Software verwendet werden, besser zu verstehen.

Implementierungsschritte

Ressourcen

Zugehörige Dokumente:

Zugehörige Beispiele: