Renforcer les points de terminaison et Patch Manager

Un accès sécurisé ne suffit pas ; les instances elles-mêmes doivent rester renforcées et corrigées. AWS Systems Manager (SSM) fournit Patch Manager et des outils associés pour maintenir à jour et configurer correctement une flotte entière. L’hygiène des points de terminaison à grande échelle est un thème récurrent de SCS-C02, car les systèmes non corrigés sont l’une des principales causes de compromission.

La plupart des attaques réussies exploitent des vulnérabilités connues qu’un correctif aurait éliminées. Dans une grande flotte, suivre manuellement quelle instance nécessite quelle mise à jour est impossible. L’automatisation de la gestion des correctifs réduit le délai entre la divulgation d’une vulnérabilité et sa correction, ce qui diminue directement le risque pour chaque charge de travail.

Patch Manager automatise l’application des correctifs aux systèmes d’exploitation et aux applications prises en charge sur EC2 et les serveurs sur site. Il analyse les instances pour détecter les correctifs manquants, indique leur conformité et installe les mises à jour approuvées selon un calendrier. Il fonctionne avec Linux et Windows et s’intègre au reste de Systems Manager.

Un référentiel de correctifs définit les correctifs approuvés pour l’installation, souvent selon leur gravité, leur classification et un délai d’approbation automatique (par exemple, approuver les correctifs critiques sept jours après leur publication). Les référentiels permettent d’équilibrer sécurité et stabilité en garantissant que seules des mises à jour contrôlées sont déployées dans les environnements sensibles.

L’application des correctifs s’effectue pendant des fenêtres de maintenance, c’est-à-dire des périodes planifiées durant lesquelles SSM peut installer des mises à jour et redémarrer les instances. Les opérations perturbatrices sont ainsi limitées à des moments sûrs, afin que les charges de production soient corrigées de manière prévisible plutôt qu’aléatoire, en conciliant les besoins de sécurité et la disponibilité.

Les groupes de correctifs utilisent des balises pour appliquer différents référentiels à différents ensembles d’instances. Par exemple, un groupe « Critical-Servers » peut utiliser un référentiel prudent avec des délais plus longs, tandis qu’un groupe « Dev » applique rapidement les correctifs. Le regroupement par balises permet de déployer proprement une politique de correctifs dans une flotte vaste et hétérogène.

Patch Manager indique l’état de conformité aux correctifs de chaque instance, et ces résultats sont transmis à AWS Config et à Security Hub. Vous disposez ainsi d’une vue d’ensemble des systèmes qui ne sont pas à jour, ce qui transforme l’état des correctifs en une mesure de sécurité quantifiable et vérifiable que l’examen vous demande de suivre.

Au-delà des correctifs, State Manager maintient les instances dans un état de configuration souhaité, en veillant par exemple à ce qu’un agent antivirus soit actif ou qu’un paramètre reste appliqué. Il applique et réapplique continuellement la configuration, empêchant toute dérive afin que les référentiels renforcés ne se dégradent pas au fil du temps.

L’inventaire SSM collecte les métadonnées relatives aux logiciels installés, à la configuration réseau et à d’autres éléments dans toute la flotte. Associé à Patch Manager et à State Manager, il offre aux équipes de sécurité une visibilité complète sur ce qui s’exécute et où, ce qui est essentiel pour détecter les logiciels non autorisés et vérifier que les normes de renforcement sont respectées.

Pour détecter les vulnérabilités nécessitant l’application de correctifs, Amazon Inspector analyse en continu les instances EC2 et les images de conteneurs par rapport aux CVE connues (Common Vulnerabilities and Exposures). Inspector s’appuie sur l’agent SSM pour évaluer les instances, puis transmet les résultats classés par priorité à Security Hub, ce qui boucle le processus : Inspector identifie le risque et Patch Manager le corrige.

Le renforcement des points de terminaison à grande échelle repose sur Patch Manager, avec des référentiels de correctifs, des fenêtres de maintenance et des groupes de correctifs fondés sur des balises pour maintenir les systèmes à jour et transmettre les rapports de conformité à Config et Security Hub. State Manager empêche la dérive de configuration et l’inventaire fournit une visibilité sur toute la flotte ; ensemble, ils maintiennent automatiquement le renforcement de la flotte entière.

Le maintien du renforcement de la flotte repose sur Patch Manager, avec des référentiels de correctifs (règles d’approbation), des fenêtres de maintenance (moment d’application des correctifs) et des groupes de correctifs fondés sur des balises (référentiel applicable). Les rapports de conformité sont transmis à AWS Config et à Security Hub. State Manager empêche la dérive de configuration et l’inventaire offre une visibilité sur les logiciels et paramètres installés dans toute la flotte.