Sicherheitsprüfungen mit Trusted Advisor

AWS Trusted Advisor prüft Ihr Konto anhand bewährter AWS-Praktiken und gibt priorisierte Empfehlungen.

Der Dienst umfasst fünf Kategorien: Kostenoptimierung, Leistung, Sicherheit, Fehlertoleranz und Service-Limits. Für die Prüfung stehen die Sicherheitsprüfungen im Mittelpunkt.

Die Sicherheitsprüfungen von Trusted Advisor machen häufige riskante Einstellungen sichtbar, zum Beispiel:

• S3-Buckets mit offenen Berechtigungen.
• Security Groups mit uneingeschränkten Ports, etwa 0.0.0.0/0 für SSH.
• IAM-Nutzung und die Frage, ob MFA für das Root-Konto aktiviert ist.

Der Umfang von Trusted Advisor hängt von Ihrem Supportplan ab.

• Basic- und Developer-Pläne erhalten einen Grundumfang an Prüfungen.
• Mit Business- und Enterprise-Plänen wird der vollständige Prüfungsumfang in allen Kategorien freigeschaltet.

Auf den höheren Supportstufen stehen zusätzliche Sicherheitsprüfungen zur Verfügung.

Jede Prüfung zeigt einen Status: grün (kein Problem), gelb (prüfen) oder rot (Maßnahme empfohlen).

Wenn Sie die Details öffnen, werden die betroffenen Ressourcen und die empfohlene Behebung angezeigt. Damit eignet sich Trusted Advisor für einen schnellen Zustandscheck und nicht für eine gründliche Untersuchung.

Die Prüfungen werden nach einem Zeitplan aktualisiert. Nach Änderungen können Sie sie auch manuell aktualisieren.

Trusted Advisor kann wöchentliche E-Mail-Zusammenfassungen senden und in EventBridge integriert werden, sodass eine Statusänderung einen automatisierten Alarm oder Workflow auslösen kann.

Eine wichtige Sicherheitsprüfung bestätigt, ob MFA für den Root-Benutzer aktiviert ist.

Das Root-Konto kann alles ausführen und sollte mit MFA abgesichert und nur selten verwendet werden. Trusted Advisor kennzeichnet fehlendes MFA für den Root-Benutzer als roten, dringend zu behebenden Befund.

Die Prüfungen der Service-Limits sind zwar nicht unmittelbar sicherheitsbezogen, aber für die Resilienz wichtig.

Wenn während eines Vorfalls ein Limit erreicht wird, etwa sodass keine Ersatzinstanzen gestartet werden können, kann sich ein Ausfall verlängern. Trusted Advisor warnt, wenn Sie sich Quotas nähern, damit Sie frühzeitig Erhöhungen beantragen können.

Beide machen Fehlkonfigurationen sichtbar, unterscheiden sich jedoch:

• Trusted Advisor bietet umfassende kontobezogene Prüfungen nach bewährten Praktiken in fünf Kategorien.
• Security Hub führt detaillierte Sicherheitsstandards aus und führt Erkenntnisse aus vielen Sicherheitsservices zusammen.

Security Hub ist das umfassendere, auf Sicherheit ausgerichtete Tool.

Mit dem passenden Support-Plan bietet Trusted Advisor eine Organisationsansicht, in der Prüfungen über alle Konten hinweg zusammengeführt werden.

Ein zentrales Team kann an einer Stelle sehen, welche Konten offene Sicherheitsgruppen oder eine fehlende MFA für den Root-Benutzer haben. Das unterstützt die Governance im großen Maßstab.

Trusted Advisor umfasst eine Prüfung, die öffentliche Code-Repositories auf offengelegte IAM-Zugriffsschlüssel durchsucht, die mit Ihrem Konto verknüpft sind.

Wenn ein Entwickler versehentlich einen Schlüssel in ein öffentliches Repository überträgt, kann diese Prüfung ihn markieren. So können Sie den Schlüssel sperren und ersetzen, bevor ein Angreifer ihn missbraucht. Das ist ein wertvolles Frühwarnsignal gegen eine sehr häufige Ursache von Sicherheitsverletzungen.

Verwenden Sie Trusted Advisor für eine schnelle Zustandsprüfung anhand von Best Practices, insbesondere bei klassischen Fehlkonfigurationen wie offenen S3-Buckets, weit geöffneten Sicherheitsgruppen und fehlender MFA für den Root-Benutzer.

Trusted Advisor ist die erste Wahl, wenn in einem Szenario eine schnelle, von AWS kuratierte Liste mit Empfehlungen statt einer tiefgehenden Analyse gefragt ist.

Wählen Sie das passende Tool für die jeweilige Aufgabe.

Sie haben gelernt, wie Trusted Advisor Best Practices prüft.

• Die Sicherheitskategorie markiert offene Buckets, weit geöffnete Sicherheitsgruppen und fehlende MFA für den Root-Benutzer.
• Die Prüftiefe hängt vom Support-Plan ab; höhere Stufen schalten alle Prüfungen frei.
• Trusted Advisor bietet eine Organisationsansicht und EventBridge-Alarme.