SEC06-BP05 Automatizzazione della protezione delle risorse di calcolo
Automatizza le operazioni di protezione delle risorse di calcolo per ridurre la necessità di intervento umano. Usa la scansione automatica per rilevare potenziali problemi all'interno delle tue risorse di calcolo e rimedia con risposte programmatiche automatiche o operazioni di gestione del parco. Incorpora l'automazione nei tuoi processi CI/CD per implementare carichi di lavoro affidabili con dipendenze aggiornate.
Risultato desiderato: i sistemi automatici eseguono tutte le scansioni e le patch delle risorse di calcolo. Si utilizza la verifica automatica per controllare che le immagini e le dipendenze del software provengano da fonti affidabili e non siano state manomesse. I carichi di lavoro vengono controllati automaticamente per verificare la presenza di dipendenze aggiornate e vengono firmati per stabilire l'affidabilità negli ambienti di calcolo AWS. Le correzioni automatiche vengono avviate al rilevamento di risorse non conformi.
Anti-pattern comuni:
-
Adottare la pratica dell'infrastruttura immutabile, senza però disporre di una soluzione di patch di emergenza o di sostituzione dei sistemi di produzione.
-
Utilizzare l'automazione per correggere le risorse non correttamente configurate, ma non avere un meccanismo di annullamento manuale. Possono verificarsi situazioni in cui è necessario modificare i requisiti e sospendere le automazioni fino a quando non si modificano.
Vantaggi derivanti dall'adozione di questa best practice: l'automazione può ridurre il rischio di accesso alle risorse di calcolo non autorizzato e del loro utilizzo. Contribuisce a evitare che le configurazioni errate si diffondano negli ambienti di produzione e a rilevare e correggere tali configurazioni nel caso in cui si verifichino. L'automazione aiuta anche a rilevare l'accesso non autorizzato delle risorse di calcolo e il loro utilizzo, riducendo i tempi di risposta. In questo modo è possibile ridurre la portata complessiva dell'impatto del problema.
Livello di rischio associato alla mancata adozione di questa best practice: medio
Guida all'implementazione
È possibile applicare le automazioni descritte nelle pratiche del principio della sicurezza per proteggere le risorse di calcolo. SEC06-BP01 Gestione delle vulnerabilità descrive come utilizzare Amazon Inspector
L'automazione svolge anche un ruolo nell'implementazione di carichi di lavoro affidabili, descritti in SEC06-BP02 Provisioning di calcolo da immagini rafforzate e SEC06-BP04 Convalida dell'integrità del software. Puoi utilizzare servizi come EC2 Image Builder
Oltre a questi controlli preventivi, è possibile utilizzare l'automazione nei controlli investigativi anche per le risorse di calcolo. Ad esempio, AWS Security Hub
Passaggi dell'implementazione
-
Automatizza la creazione di AMI sicure, conformi e rafforzate con EC2 Image Builder È possibile produrre immagini che incorporano i controlli dei Benchmark del Center for Internet Security (CIS) o gli standard della Security Technical Implementation Guide (STIG) dalle immagini di base di AWS e dei partner APN.
-
Automatizzazione della gestione delle configurazioni. Applica e convalida automaticamente le configurazioni sicure nelle risorse di calcolo utilizzando un servizio o uno strumento di gestione della configurazione.
-
Gestione automatizzata della configurazione tramite AWS Config
-
Gestione automatizzata della sicurezza e della conformità utilizzando AWS Security Hub
-
-
Automatizza l'applicazione di patch o la sostituzione delle istanze Amazon Elastic Compute Cloud (Amazon EC2). AWS Systems Manager Patch Manager automatizza il processo di patch delle istanze gestite con aggiornamenti di sicurezza e di altro tipo. Puoi utilizzare il gestore patch per applicare patch sia per i sistemi operativi sia per le applicazioni.
-
Automatizza la scansione delle risorse di calcolo alla ricerca di CVE (Common Vulnerabilities and Exposures) e integra le soluzioni di scansione della sicurezza nella tua pipeline di compilazione.
-
Prendi in considerazione Amazon GuardDuty per il rilevamento automatico di malware e minacce per proteggere le risorse di calcolo. GuardDuty può anche identificare potenziali problemi quando una funzione AWS Lambda viene richiamata nel tuo ambiente AWS.
-
Prendi in considerazione le soluzioni dei partner AWS. I partner AWS offrono prodotti leader nel settore che sono equivalenti, identici o si integrano ai controlli esistenti negli ambienti on-premise. Questi prodotti integrano i servizi AWS esistenti per permettere di implementare un'architettura di sicurezza completa e un'esperienza più fluida nel cloud e negli ambienti on-premise.
Risorse
Best practice correlate:
Documenti correlati:
Video correlati:
-
Security best practices for the Amazon EC2 instance metadata service
(Best practice di sicurezza per il servizio di metadati dell'istanza Amazon EC2)