Considerazioni sulla sicurezza per le Istanze gestite da Amazon ECS

Le Istanze gestite da Amazon ECS offrono un'esperienza di calcolo in container completamente gestita che consente di eseguire carichi di lavoro su tipi di istanze Amazon EC2 specifici, delegando al contempo le responsabilità di sicurezza ad AWS. Questo argomento descrive il modello di sicurezza, le caratteristiche e le considerazioni relative all'utilizzo delle Istanze gestite da Amazon ECS.

Modello di sicurezza

Le Istanze gestite da Amazon ECS implementano un modello di sicurezza completo che bilancia flessibilità e protezione:

• Infrastruttura gestita AWS: AWS controlla il ciclo di vita delle istanze gestite e gestisce le patch di sicurezza, eliminando la possibilità di errori umani e manomissioni.

• Nessun accesso amministrativo: il modello di sicurezza è bloccato e vieta l'accesso amministrativo alle istanze gestite.

• Posizionamento multi-task: per impostazione predefinita, le Istanze gestite da Amazon ECS collocano più attività su una singola istanza per ottimizzare costi e utilizzo, il che allenta il vincolo di isolamento del carico di lavoro rispetto a Fargate.

• Isolamento dei dati: sebbene AWS controlli il ciclo di vita delle istanze e il posizionamento delle attività, AWS non può accedere alle istanze gestite o accedere ai dati dei clienti.

Funzionalità di sicurezza

Le Istanze gestite da Amazon ECS includono diverse funzionalità di sicurezza integrate progettate per proteggere i carichi di lavoro e mantenere una solida posizione di sicurezza. Queste funzionalità vanno dall'applicazione automatica delle patch di sicurezza al supporto di funzionalità Linux privilegiate quando necessario.

Best practice relative alla sicurezza

Le istanze gestite sono configurate in base alle best practice di sicurezza AWS, tra cui:

• Nessun accesso SSH: l'accesso remoto alla shell è disabilitato per impedire accessi non autorizzati.

• Filesystem del root immutabile: il filesystem del root non può essere modificato, garantendo l'integrità del sistema.

• Controlli di accesso obbligatori a livello di kernel: SELinux fornisce un'ulteriore applicazione di sicurezza a livello di kernel.

Applicazione automatica delle patch di sicurezza

Le Istanze gestite da Amazon ECS aiutano a migliorare il livello di sicurezza dei carichi di lavoro attraverso l'applicazione di patch automatizzate:

• Aggiornamenti di sicurezza regolari: le istanze vengono regolarmente aggiornate con le ultime patch di sicurezza da AWS entro le finestre di manutenzione configurate.

• Durata limitata dell'istanza: la durata massima di un'istanza in esecuzione è limitata a 14 giorni, per garantire che le applicazioni vengano eseguite su istanze configurate in modo appropriato con patch di sicurezza aggiornate.

• Controllo delle finestre di manutenzione: è possibile utilizzare la funzionalità delle finestre degli eventi di Amazon EC2 per specificare quando Amazon ECS deve sostituire le istanze con quelle con patch.

Funzionalità Linux privilegiate

Le Istanze gestite da Amazon ECS supportano software che richiedono privilegi Linux elevati, abilitando soluzioni di monitoraggio e sicurezza avanzate:

• Funzionalità supportate: è possibile attivare tutte le funzionalità Linux privilegiate, tra cui CAP_NET_ADMIN, CAP_SYS_ADMIN e CAP_BPF.

• Soluzioni popolari: ciò consente di eseguire le più diffuse soluzioni di monitoraggio e osservabilità della rete come Wireshark e Datadog.

• Configurazione esplicita richiesta: è necessario configurare in modo esplicito il provider di capacità delle Istanze gestite da Amazon ECS per abilitare funzionalità Linux privilegiate, poiché ciò potrebbe comportare rischi di sicurezza aggiuntivi per le applicazioni.

Importante

L'attivazione delle funzionalità privilegiate di Linux può esporre le attività a rischi di sicurezza aggiuntivi. Abilitare queste funzionalità solo quando richiesto dalle applicazioni e assicurarsi di comprendere le implicazioni sulla sicurezza.

Conformità e supporto normativo

Le Istanze gestite da Amazon ECS mantengono lo stesso livello di conformità di Amazon ECS:

• Programmi di conformità: le Istanze gestite di Amazon ECS rientrano nell'ambito di applicazione degli stessi Programmi di garanzia AWS come Amazon ECS, tra cui PCI-DSS, HIPAA e FedRAMP.

• Endpoint FIPS: le Istanze gestite da Amazon ECS rispettano le impostazioni per l'utilizzo degli endpoint FIPS a livello di account nelle regioni AWS per contribuire a raggiungere la conformità FedRAMP.

• Chiavi gestite dal cliente: supporta le funzionalità di sicurezza necessarie per il raggiungimento della conformità, come le chiavi gestite dal cliente per la crittografia.

Considerazioni relative alla sicurezza

Quando si utilizzano le Istanze gestite da Amazon ECS, ci sono diverse importanti considerazioni sulla sicurezza da comprendere e pianificare. Queste considerazioni ti aiutano a prendere decisioni informate sull'architettura del carico di lavoro e sui requisiti di sicurezza.

Modello di sicurezza multitasking

Il modello di posizionamento multi-task predefinito nelle Istanze gestite da Amazon ECS è diverso dall'isolamento a singola attività di Fargate:

• Risorse condivise di istanze: è possibile eseguire più attività sulla stessa istanza, esponendo potenzialmente un'attività alle vulnerabilità di altre attività in esecuzione sulla stessa istanza o nello stesso cluster ECS.

• Opzione single-task: è possibile configurare le Istanze gestite da Amazon ECS per utilizzare la modalità single-task per i clienti che richiedono il modello di sicurezza Fargate predefinito con limite di isolamento di sicurezza a livello di macchina virtuale.

• Compromesso tra costi e sicurezza: la modalità multi-task consente di ottimizzare i costi e velocizzare i tempi di startup delle attività, mentre la modalità single-task offre un maggiore isolamento.

Gestione delle interruzioni dell'istanza

È importante progettare le applicazioni in modo da tollerare le interruzioni quando si utilizzano le Istanze gestite da Amazon ECS:

• Tolleranza all'interruzione: utilizzare le Istanze gestite da Amazon ECS con applicazioni che tollerano l'interruzione dei servizi o delle attività sottostanti.

• Carichi di lavoro basati sui servizi: utilizzare i servizi Amazon ECS per la sostituzione automatica delle attività o eseguire carichi di lavoro con una durata controllata e limitata non superiore a 14 giorni su attività autonome.

• Arresto regolare: configurare il periodo di tolleranza per la chiusura delle attività per controllare l'impatto delle interruzioni.

Accesso e privacy dei dati

Le Istanze gestite da Amazon ECS mantengono rigorosi controlli di accesso ai dati:

• Nessun accesso ai dati dei clienti: sebbene AWS controlli il ciclo di vita delle istanze gestite e il posizionamento delle attività sulle istanze, AWS non può accedere alle istanze gestite o accedere ai dati dei clienti.

• Solo parametri e log: AWS acquisisce solo i parametri e i log correlati necessari per fornire le funzionalità delle Istanze gestite da Amazon ECS.

• Modello di sicurezza bloccato: il modello di sicurezza vieta l'accesso amministrativo, eliminando la possibilità di errori umani e manomissioni.

Best practice relative alla sicurezza

Seguire queste best practice quando si utilizzano le Istanze gestite da Amazon ECS:

• Valutare il modello di sicurezza: prendere una decisione consapevole sull'adozione delle Istanze gestite da Amazon ECS in base ai requisiti di sicurezza, in particolare per quanto riguarda il modello di posizionamento multi-task.

• Usare la modalità single-task quando necessario: se i carichi di lavoro richiedono un isolamento più forte, configurare le Istanze gestite da Amazon ECS per utilizzare la modalità single-task.

• Ridurre al minimo le funzionalità privilegiate: abilitare le funzionalità privilegiate di Linux solo quando assolutamente necessario e comprendere i rischi per la sicurezza associati.

• Pianificare le interruzioni: progettare le applicazioni per gestire le sostituzioni delle istanze in modo corretto, soprattutto considerando la durata massima delle istanze di 14 giorni.

• Configurare le finestre di manutenzione: utilizzare le finestre degli eventi EC2 per controllare quando avvengono le sostituzioni delle istanze e ridurre al minimo l'impatto sui carichi di lavoro.

• Monitoraggio e verifica: esaminare regolarmente la configurazione delle Istanze gestite di Amazon ECS e monitorare eventuali eventi o modifiche relativi alla sicurezza.