Endpunkte und Patch Manager härten

Sicherer Zugriff allein reicht nicht aus; auch die Instances müssen dauerhaft gehärtet und gepatcht bleiben. AWS Systems Manager (SSM) stellt mit Patch Manager und verwandten Tools Funktionen bereit, um eine gesamte Flotte aktuell und korrekt konfiguriert zu halten. Die Hygiene von Endpunkten in großem Maßstab ist ein wiederkehrendes Thema der SCS-C02-Prüfung, da ungepatchte Systeme zu den häufigsten Ursachen für Sicherheitsverletzungen gehören.

Die meisten erfolgreichen Angriffe nutzen bekannte Schwachstellen aus, die durch einen Patch behoben worden wären. In einer großen Flotte ist es unmöglich, manuell nachzuverfolgen, welche Instance welches Update benötigt. Automatisiertes Patch-Management verkürzt den Zeitraum zwischen der Veröffentlichung einer Schwachstelle und ihrer Behebung und reduziert dadurch das Risiko für jede Workload unmittelbar.

Patch Manager automatisiert das Patchen von Betriebssystemen und unterstützten Anwendungen auf EC2- sowie On-Premises-Servern. Der Dienst durchsucht Instances nach fehlenden Patches, meldet den Compliance-Status und installiert genehmigte Updates nach einem Zeitplan. Er unterstützt Linux und Windows und ist in die übrigen Funktionen von Systems Manager integriert.

Eine Patch-Baseline legt fest, welche Patches zur Installation genehmigt sind, häufig anhand von Schweregrad, Klassifizierung und einer Verzögerung für die automatische Genehmigung (beispielsweise werden kritische Patches sieben Tage nach ihrer Veröffentlichung genehmigt). Baselines ermöglichen es Ihnen, Sicherheit und Stabilität auszubalancieren und nur geprüfte Updates in sensiblen Umgebungen auszurollen.

Patching wird während Wartungsfenstern ausgeführt – geplanten Zeiträumen, in denen SSM Updates installieren und Instances neu starten darf. Dadurch werden störende Vorgänge auf geeignete Zeitpunkte beschränkt. Produktions-Workloads werden vorhersehbar statt zufällig gepatcht, sodass Sicherheitsanforderungen und Verfügbarkeit ausgewogen bleiben.

Patch-Gruppen verwenden Tags, um auf verschiedene Gruppen von Instances unterschiedliche Baselines anzuwenden. Eine Gruppe namens „Critical-Servers“ könnte beispielsweise eine konservative Baseline mit längeren Verzögerungen verwenden, während die Gruppe „Dev“ besonders schnell patcht. Die tagbasierte Gruppierung skaliert Patch-Richtlinien übersichtlich über eine große, heterogene Flotte.

Patch Manager meldet für jede Instance den Status der Patch-Compliance; diese Ergebnisse fließen in AWS Config und den Security Hub ein. Sie erhalten einen Überblick über die gesamte Flotte und sehen, welche Systeme nicht aktuell sind. Dadurch wird der Patch-Status zu einer messbaren und prüfbaren Sicherheitskennzahl, die Sie laut Prüfung nachverfolgen sollten.

Über Patches hinaus hält State Manager Instances in einem gewünschten Konfigurationsstatus, indem er beispielsweise sicherstellt, dass ein Antivirus-Agent ausgeführt wird oder eine Einstellung dauerhaft erzwungen bleibt. Der Dienst wendet die Konfiguration kontinuierlich an und setzt sie bei Bedarf erneut durch. So wird Drift verhindert und der gehärtete Ausgangszustand bleibt langfristig erhalten.

Das SSM-Inventory sammelt in der gesamten Flotte Metadaten zu installierter Software, Netzwerkkonfiguration und weiteren Eigenschaften. Zusammen mit Patch Manager und State Manager verschafft es Sicherheitsteams vollständige Transparenz darüber, was wo ausgeführt wird. Das ist entscheidend, um nicht autorisierte Software zu erkennen und die Einhaltung von Härtungsstandards zu bestätigen.

Um patchbedürftige Schwachstellen zu finden, scannt Amazon Inspector EC2-Instances und Container-Images kontinuierlich auf bekannte CVEs (Common Vulnerabilities and Exposures). Inspector verwendet den SSM Agent zur Bewertung der Instances und leitet priorisierte Ergebnisse an den Security Hub weiter. Damit schließt sich der Kreislauf: Inspector identifiziert das Risiko und Patch Manager behebt es.

Die Härtung von Endpunkten im großen Maßstab nutzt Patch Manager zusammen mit Patch-Baselines, Wartungsfenstern und tagbasierten Patch-Gruppen, um Systeme aktuell zu halten und die Compliance an Config und Security Hub zu melden. State Manager verhindert Konfigurationsdrift und Inventory sorgt für flottenweite Transparenz. Zusammen halten diese Funktionen die gesamte Flotte automatisch gehärtet.

Testen Sie die Härtung von Endpunkten.

Um die Flotte gehärtet zu halten, verwenden Sie Patch Manager mit Patch-Baselines (Genehmigungsregeln), Wartungsfenstern (Zeitpunkt des Patchens) und tagbasierten Patch-Gruppen (anzuwendende Baseline). Compliance-Berichte werden an AWS Config und den Security Hub übermittelt. State Manager verhindert Konfigurationsdrift, und Inventory bietet flottenweite Transparenz über installierte Software und Einstellungen.