Memperkuat Endpoint dan Patch Manager

Akses yang aman saja tidak cukup; instans itu sendiri harus tetap diperkuat dan ditambal. AWS Systems Manager (SSM) menyediakan Patch Manager dan alat terkait untuk menjaga seluruh armada tetap terbaru dan dikonfigurasi dengan benar. Kebersihan titik akhir dalam skala besar merupakan tema berulang pada SCS-C02, karena sistem yang tidak ditambal menjadi salah satu penyebab utama pembobolan.

Sebagian besar serangan yang berhasil mengeksploitasi kerentanan yang telah diketahui dan sebenarnya dapat diperbaiki oleh suatu tambalan. Dalam armada besar, melacak secara manual instans mana yang memerlukan pembaruan tertentu merupakan hal yang mustahil. Otomatisasi pengelolaan tambalan mempersempit jeda antara pengungkapan kerentanan dan perbaikannya, sehingga secara langsung mengurangi risiko pada setiap beban kerja.

Patch Manager mengotomatiskan penambalan sistem operasi dan aplikasi yang didukung pada EC2 serta server lokal. Layanan ini memindai instans untuk menemukan tambalan yang hilang, melaporkan kepatuhan, dan memasang pembaruan yang disetujui sesuai jadwal. Layanan ini bekerja pada Linux dan Windows serta terintegrasi dengan bagian lain dari Systems Manager.

Baseline tambalan menentukan tambalan mana yang disetujui untuk dipasang, biasanya berdasarkan tingkat keparahan, klasifikasi, dan penundaan persetujuan otomatis (misalnya, menyetujui tambalan kritis tujuh hari setelah dirilis). Baseline memungkinkan Anda menyeimbangkan keamanan dan stabilitas, dengan memastikan hanya pembaruan yang telah diperiksa yang diterapkan ke lingkungan sensitif.

Penambalan berlangsung selama jendela pemeliharaan, yaitu periode terjadwal ketika SSM dapat memasang pembaruan dan memulai ulang instans. Dengan demikian, operasi yang mengganggu dibatasi pada waktu yang aman, sehingga beban kerja produksi ditambal secara terprediksi, bukan secara acak, sambil menyeimbangkan kebutuhan keamanan dan ketersediaan.

Grup tambalan menggunakan tag untuk menerapkan baseline yang berbeda pada kumpulan instans yang berbeda. Misalnya, grup "Critical-Servers" dapat menggunakan baseline konservatif dengan penundaan yang lebih lama, sedangkan grup "Dev" menambal secara agresif. Pengelompokan berbasis tag memungkinkan kebijakan penambalan diterapkan secara rapi pada armada besar yang beragam.

Patch Manager melaporkan status kepatuhan tambalan setiap instans, dan hasil ini diteruskan ke AWS Config serta Security Hub. Anda memperoleh gambaran seluruh armada mengenai sistem yang sudah kedaluwarsa, sehingga status tambalan menjadi metrik keamanan yang terukur dan dapat diaudit, yang diharapkan untuk Anda lacak dalam ujian.

Selain tambalan, State Manager menjaga instans pada keadaan konfigurasi yang diinginkan, misalnya dengan memastikan agen antivirus berjalan atau suatu pengaturan tetap diterapkan. Layanan ini terus menerapkan dan menerapkan ulang konfigurasi, sehingga mencegah penyimpangan dan menjaga baseline yang diperkuat agar tidak melemah seiring waktu.

Inventaris SSM mengumpulkan metadata tentang perangkat lunak yang terpasang, konfigurasi jaringan, dan lainnya di seluruh armada. Jika digabungkan dengan Patch Manager dan State Manager, fitur ini memberi tim keamanan visibilitas penuh tentang apa yang berjalan dan di mana, yang penting untuk menemukan perangkat lunak tidak sah serta memastikan standar penguatan keamanan terpenuhi.

Untuk menemukan kerentanan yang memerlukan penambalan, Amazon Inspector terus memindai instans EC2 dan citra kontainer berdasarkan CVE yang diketahui (Common Vulnerabilities and Exposures). Inspector mengandalkan SSM Agent untuk menilai instans, lalu memasukkan temuan yang diprioritaskan ke Security Hub, sehingga seluruh proses tersambung: Inspector mengidentifikasi risiko dan Patch Manager memperbaikinya.

Penguatan titik akhir dalam skala besar menggunakan Patch Manager dengan baseline tambalan, jendela pemeliharaan, dan grup tambalan berbasis tag untuk menjaga sistem tetap diperbarui, serta melaporkan kepatuhan ke Config dan Security Hub. State Manager mencegah penyimpangan konfigurasi dan Inventaris menyediakan visibilitas seluruh armada, sehingga bersama-sama menjaga seluruh armada tetap diperkuat secara otomatis.

Uji penguatan titik akhir.

Menjaga armada tetap diperkuat menggunakan Patch Manager dengan baseline tambalan (aturan persetujuan), jendela pemeliharaan (kapan penambalan dilakukan), dan grup tambalan berbasis tag (baseline yang diterapkan). Laporan kepatuhan diteruskan ke AWS Config dan Security Hub. State Manager menghentikan penyimpangan konfigurasi, sedangkan Inventaris menyediakan visibilitas seluruh armada atas perangkat lunak dan pengaturan yang terpasang.