Mettere in sicurezza gli endpoint e Patch Manager

Non è sufficiente proteggere l'accesso: anche le istanze devono rimanere protette e aggiornate. AWS Systems Manager (SSM) fornisce Patch Manager e strumenti correlati per mantenere aggiornato e configurato correttamente un intero parco di istanze. L'igiene degli endpoint su larga scala è un tema ricorrente dell'esame SCS-C02, poiché i sistemi non aggiornati sono tra le principali cause delle violazioni.

La maggior parte degli attacchi riusciti sfrutta vulnerabilità note che una patch avrebbe risolto. In un parco di grandi dimensioni, tenere manualmente traccia dell'aggiornamento necessario per ogni istanza è impossibile. Automatizzare la gestione delle patch riduce l'intervallo tra la divulgazione di una vulnerabilità e la sua risoluzione, diminuendo direttamente il rischio per ogni carico di lavoro.

Patch Manager automatizza l'applicazione delle patch ai sistemi operativi e alle applicazioni supportate su server EC2 e on-premises. Analizza le istanze alla ricerca delle patch mancanti, segnala lo stato di conformità e installa gli aggiornamenti approvati secondo una pianificazione. Funziona su Linux e Windows e si integra con il resto di Systems Manager.

Una baseline delle patch definisce quali patch sono approvate per l'installazione, spesso in base alla gravità, alla classificazione e a un ritardo per l'approvazione automatica (ad esempio, approvare le patch critiche sette giorni dopo il rilascio). Le baseline consentono di bilanciare sicurezza e stabilità, garantendo che negli ambienti sensibili vengano distribuiti solo aggiornamenti verificati.

L'applicazione delle patch viene eseguita durante le finestre di manutenzione, periodi pianificati in cui SSM può installare aggiornamenti e riavviare le istanze. In questo modo le operazioni potenzialmente disruptive vengono limitate a momenti sicuri, così i carichi di lavoro di produzione vengono aggiornati in modo prevedibile anziché casuale, bilanciando le esigenze di sicurezza e disponibilità.

I gruppi di patch utilizzano i tag per applicare baseline diverse a insiemi diversi di istanze. Ad esempio, un gruppo "Critical-Servers" potrebbe utilizzare una baseline prudente con ritardi più lunghi, mentre un gruppo "Dev" potrebbe applicare le patch rapidamente. Il raggruppamento basato sui tag consente di applicare in modo ordinato le policy delle patch a un parco ampio e variegato.

Patch Manager segnala lo stato di conformità alle patch di ogni istanza e questi risultati confluiscono in AWS Config e Security Hub. Ottiene così una panoramica dell'intero parco di istanze, mostrando quali sistemi non sono aggiornati e trasformando lo stato delle patch in una metrica di sicurezza misurabile e sottoponibile ad audit, che l'esame si aspetta Lei sappia monitorare.

Oltre alle patch, State Manager mantiene le istanze in uno stato di configurazione desiderato, ad esempio garantendo che un agente antivirus sia in esecuzione o che un'impostazione rimanga applicata. Applica e riapplica continuamente la configurazione, impedendo la deriva della configurazione e impedendo che le baseline di sicurezza si degradino nel tempo.

Inventory di SSM raccoglie metadati sul software installato, sulla configurazione di rete e altro ancora nell'intero parco di istanze. Insieme a Patch Manager e State Manager, offre ai team di sicurezza una visibilità completa su ciò che è in esecuzione e dove, essenziale per individuare software non autorizzato e verificare il rispetto degli standard di hardening.

Per individuare le vulnerabilità che richiedono l'applicazione di patch, Amazon Inspector analizza continuamente le istanze EC2 e le immagini dei container confrontandole con CVE note (Common Vulnerabilities and Exposures). Inspector si basa sull'SSM Agent per valutare le istanze, quindi invia i risultati prioritari a Security Hub, completando il ciclo: Inspector identifica il rischio e Patch Manager lo risolve.

L'hardening degli endpoint su larga scala utilizza Patch Manager con baseline delle patch, finestre di manutenzione e gruppi di patch basati sui tag per mantenere aggiornati i sistemi, riportando la conformità in Config e Security Hub. State Manager impedisce la deriva della configurazione e Inventory offre visibilità sull'intero parco di istanze; insieme, mantengono automaticamente protetto tutto il parco.

Verifichi l'hardening degli endpoint.

Per mantenere protetto il parco di istanze si utilizza Patch Manager con baseline delle patch (regole di approvazione), finestre di manutenzione (quando applicare le patch) e gruppi di patch basati sui tag (quale baseline applicare). I report di conformità confluiscono in AWS Config e Security Hub. State Manager impedisce la deriva della configurazione e Inventory offre una visibilità sull'intero parco di istanze relativa al software e alle impostazioni installate.