تقوية نقاط النهاية وPatch Manager

لا يكفي تأمين الوصول؛ بل يجب أن تظل المثيلات نفسها مُحصّنة ومصحّحة. يوفر AWS Systems Manager (SSM) خدمة Patch Manager والأدوات المرتبطة بها للحفاظ على تحديث أسطول كامل وتهيئته بصورة صحيحة. وتُعد سلامة نقاط النهاية على نطاق واسع موضوعًا متكررًا في SCS-C02، لأن الأنظمة غير المصحّحة من أبرز أسباب الاختراقات.

تستغل معظم الهجمات الناجحة ثغرات معروفة كان من الممكن أن يعالجها تصحيح. وفي أسطول كبير، يستحيل تتبع المثيل الذي يحتاج إلى كل تحديث يدويًا. تؤدي أتمتة إدارة التصحيحات إلى تقليص الفترة بين الكشف عن الثغرة ومعالجتها، ما يقلل المخاطر مباشرةً في جميع أحمال العمل.

تعمل خدمة Patch Manager على أتمتة تثبيت التصحيحات لأنظمة التشغيل والتطبيقات المدعومة عبر EC2 والخوادم المحلية. فهي تفحص المثيلات بحثًا عن التصحيحات المفقودة، وتُصدر تقارير الامتثال، وتثبت التحديثات المعتمدة وفق جدول زمني. وهي تعمل مع Linux وWindows وتتكامل مع بقية مكونات Systems Manager.

يحدد خط أساس التصحيحات التصحيحات المعتمدة للتثبيت، غالبًا وفق مستوى الخطورة والتصنيف وفترة تأخير الموافقة التلقائية؛ فعلى سبيل المثال، يمكن اعتماد التصحيحات الحرجة بعد سبعة أيام من إصدارها. تتيح خطوط الأساس الموازنة بين الأمان والاستقرار، وضمان طرح التحديثات التي خضعت للتحقق فقط في البيئات الحساسة.

تُنفَّذ عملية تثبيت التصحيحات خلال نوافذ الصيانة، وهي فترات مجدولة يُسمح فيها لـ SSM بتثبيت التحديثات وإعادة تشغيل المثيلات. ويحد ذلك من العمليات المسببة للاضطراب إلى أوقات آمنة، بحيث تُصحَّح أحمال عمل الإنتاج بطريقة متوقعة بدلًا من تنفيذها عشوائيًا، مع تحقيق توازن بين احتياجات الأمان والتوافر.

تستخدم مجموعات التصحيحات الوسوم لتطبيق خطوط أساس مختلفة على مجموعات مختلفة من المثيلات. فعلى سبيل المثال، قد تستخدم مجموعة "Critical-Servers" خط أساس محافظًا مع فترات تأخير أطول، بينما تطبق مجموعة "Dev" التصحيحات بسرعة. ويسمح التجميع المعتمد على الوسوم بتوسيع نطاق سياسة التصحيحات بسهولة عبر أسطول كبير ومتنوع.

يُصدر Patch Manager تقريرًا عن حالة امتثال المثيلات للتصحيحات لكل مثيل، وتنتقل هذه النتائج إلى AWS Config وSecurity Hub. وتحصلون على رؤية شاملة للأسطول توضح الأنظمة غير المحدّثة، فتحوّل حالة التصحيحات إلى مقياس أمني قابل للقياس والتدقيق، وهو ما يتوقع الاختبار منكم تتبعه.

بالإضافة إلى التصحيحات، يحافظ State Manager على المثيلات ضمن حالة التهيئة المطلوبة، مثل ضمان تشغيل برنامج مكافحة الفيروسات أو استمرار فرض إعداد معين. ويطبّق التهيئة ويعيد تطبيقها باستمرار، ما يمنع الانحراف ويحافظ على خطوط الأساس المحصّنة من التدهور بمرور الوقت.

يجمع Inventory في SSM بيانات وصفية عن البرامج المثبتة وتهيئة الشبكة وغير ذلك عبر الأسطول. وبالاقتران مع Patch Manager وState Manager، يمنح فرق الأمان رؤية كاملة لما يعمل وأين يعمل، وهو أمر ضروري لاكتشاف البرامج غير المصرّح بها والتأكد من استيفاء معايير التحصين.

للعثور على الثغرات التي تحتاج إلى تصحيحات، تفحص Amazon Inspector مثيلات EC2 وصور الحاويات باستمرار مقابل CVEs المعروفة (الثغرات والتعرّضات الشائعة). ويعتمد Inspector على SSM Agent لتقييم المثيلات، ثم يرسل النتائج ذات الأولوية إلى Security Hub، وبذلك تكتمل الدورة: يحدد Inspector الخطر ويعالجه Patch Manager.

يستخدم تحصين نقاط النهاية على نطاق واسع Patch Manager مع خطوط أساس التصحيحات ونوافذ الصيانة ومجموعات التصحيحات المعتمدة على الوسوم للحفاظ على تحديث الأنظمة، مع إرسال تقارير الامتثال إلى Config وSecurity Hub. ويمنع State Manager انحراف التهيئة، بينما يوفر Inventory رؤية شاملة للأسطول، وبذلك يحافظان معًا على تحصين الأسطول بأكمله تلقائيًا.

اختبروا تحصين نقاط النهاية.

يتطلب الحفاظ على تحصين الأسطول استخدام Patch Manager مع خطوط أساس التصحيحات (قواعد الموافقة) ونوافذ الصيانة (موعد تثبيت التصحيحات) ومجموعات التصحيحات المعتمدة على الوسوم (خط الأساس المطبّق). تنتقل تقارير الامتثال إلى AWS Config وSecurity Hub. ويمنع State Manager انحراف التهيئة، بينما يوفر Inventory رؤية شاملة للبرامج والإعدادات المثبتة في الأسطول.