Sikring af endpoints og Patch Manager

Sikker adgang er ikke nok; selve instanserne skal også forblive hærdede og opdaterede. AWS Systems Manager (SSM) indeholder Patch Manager og relaterede værktøjer, der holder en hel flåde opdateret og korrekt konfigureret. Hygiejne på slutpunkter i stor skala er et tilbagevendende SCS-C02-tema, fordi systemer uden sikkerhedsopdateringer er en af de vigtigste årsager til sikkerhedsbrud.

De fleste vellykkede angreb udnytter kendte sårbarheder, som en opdatering ville have rettet. I en stor flåde er det umuligt manuelt at holde styr på, hvilken instans der har brug for hvilken opdatering. Automatisering af opdateringsstyringen lukker tidsrummet mellem offentliggørelsen af en sårbarhed og afhjælpningen af den og reducerer dermed risikoen direkte på tværs af alle arbejdsbelastninger.

Patch Manager automatiserer opdatering af operativsystemer og understøttede programmer på tværs af EC2- og lokale servere. Den scanner instanser for manglende opdateringer, rapporterer compliance og installerer godkendte opdateringer efter en tidsplan. Den fungerer til Linux og Windows og integreres med resten af Systems Manager.

En opdateringsbaseline definerer, hvilke opdateringer der er godkendt til installation, ofte efter alvorlighedsgrad, klassifikation og en forsinkelse for automatisk godkendelse (for eksempel at godkende kritiske opdateringer syv dage efter udgivelsen). Baselines gør det muligt at afveje sikkerhed mod stabilitet og sikrer, at kun kontrollerede opdateringer rulles ud til følsomme miljøer.

Opdatering kører under vedligeholdelsesvinduer, som er planlagte perioder, hvor SSM må installere opdateringer og genstarte instanser. Det begrænser forstyrrende handlinger til sikre tidspunkter, så produktionsarbejdsbelastninger opdateres forudsigeligt i stedet for tilfældigt, og sikkerhedsbehov afvejes mod tilgængelighed.

Opdateringsgrupper bruger tags til at anvende forskellige baselines på forskellige grupper af instanser. For eksempel kan gruppen "Critical-Servers" bruge en forsigtig baseline med længere forsinkelser, mens gruppen "Dev" opdateres aggressivt. Tagbaseret gruppering skalerer opdateringspolitikken effektivt på tværs af en stor og varieret flåde.

Patch Manager rapporterer hver instans' tilstand for opdateringscompliance, og disse resultater sendes videre til AWS Config og Security Hub. Du får et overblik over hele flåden og kan se, hvilke systemer der er forældede, så opdateringsstatus bliver et målbart og revisionssporingsbart sikkerhedsmål, som eksamen forventer, at du følger.

Ud over opdateringer holder State Manager instanser i en ønsket konfigurationstilstand, for eksempel ved at sikre, at en antivirusagent kører, eller at en indstilling forbliver håndhævet. Den anvender og genanvender løbende konfigurationen og forhindrer dermed afvigelser, så hærdede baselines ikke gradvist forringes.

SSM Inventory indsamler metadata om installeret software, netværkskonfiguration og mere på tværs af flåden. Sammen med Patch Manager og State Manager giver det sikkerhedsteams fuld synlighed i, hvad der kører hvor, hvilket er afgørende for at opdage uautoriseret software og bekræfte, at hærdningsstandarder er opfyldt.

For at finde sårbarheder, der kræver opdatering, scanner Amazon Inspector løbende EC2-instanser og containerafbildninger for kendte CVE'er (Common Vulnerabilities and Exposures). Inspector bruger SSM Agent til at vurdere instanser og sender derefter prioriterede fund til Security Hub, så hele processen hænger sammen: Inspector identificerer risikoen, og Patch Manager afhjælper den.

Hærdning af slutpunkter i stor skala bruger Patch Manager med opdateringsbaselines, vedligeholdelsesvinduer og tagbaserede opdateringsgrupper til at holde systemerne opdaterede, mens compliance rapporteres til Config og Security Hub. State Manager forhindrer konfigurationsafvigelser, og Inventory giver synlighed på tværs af hele flåden, så hele flåden automatisk forbliver hærdet.

En hærdet flåde vedligeholdes med Patch Manager og opdateringsbaselines (godkendelsesregler), vedligeholdelsesvinduer (hvornår der skal opdateres) og tagbaserede opdateringsgrupper (hvilken baseline der gælder). Compliancerapporter sendes til AWS Config og Security Hub. State Manager stopper konfigurationsafvigelser, og Inventory giver synlighed på tværs af flåden over installeret software og indstillinger.