엔드포인트 및 Patch Manager 강화

안전한 액세스만으로는 충분하지 않으며 인스턴스 자체도 강화되고 패치된 상태를 유지해야 합니다. AWS Systems Manager(SSM)는 전체 서버 집합을 최신 상태로 유지하고 올바르게 구성하기 위한 Patch Manager 및 관련 도구를 제공합니다. 패치되지 않은 시스템은 침해의 주요 원인이므로, 대규모 엔드포인트 위생은 SCS-C02에서 반복적으로 다뤄지는 주제입니다.

성공적인 공격의 대부분은 패치로 해결할 수 있었던 알려진 취약성을 악용합니다. 대규모 서버 집합에서 어떤 인스턴스에 어떤 업데이트가 필요한지 수동으로 추적하는 것은 불가능합니다. 패치 관리를 자동화하면 취약성이 공개된 시점과 해결되는 시점 사이의 시간을 줄여 모든 워크로드의 위험을 직접 낮출 수 있습니다.

Patch Manager는 EC2 및 온프레미스 서버에서 운영 체제와 지원되는 애플리케이션의 패치를 자동화합니다. 인스턴스에서 누락된 패치를 검색하고, 규정 준수 상태를 보고하며, 일정에 따라 승인된 업데이트를 설치합니다. Linux와 Windows에서 모두 작동하고 Systems Manager의 다른 기능과 통합됩니다.

패치 기준선은 설치에 승인된 패치를 정의하며, 보통 심각도, 분류 및 자동 승인 지연 기간을 기준으로 설정합니다. 예를 들어 릴리스 7일 후 중요한 패치를 승인하도록 설정할 수 있습니다. 기준선을 사용하면 보안과 안정성 사이의 균형을 유지하여 검증된 업데이트만 민감한 환경에 배포할 수 있습니다.

패치는 유지 관리 기간 동안 실행됩니다. 이 기간에는 SSM이 업데이트를 설치하고 인스턴스를 재부팅할 수 있습니다. 따라서 운영 중단을 안전한 시간으로 제한할 수 있으며, 운영 워크로드가 무작위로 패치되지 않고 예측 가능한 방식으로 패치되어 보안 요구 사항과 가용성 사이의 균형을 맞출 수 있습니다.

패치 그룹은 태그를 사용하여 서로 다른 인스턴스 집합에 서로 다른 기준선을 적용합니다. 예를 들어 "Critical-Servers" 그룹에는 지연 기간이 더 긴 보수적인 기준선을 사용하고, "Dev" 그룹에는 공격적으로 패치를 적용할 수 있습니다. 태그 기반 그룹화는 규모가 크고 다양한 서버 집합 전체에 패치 정책을 깔끔하게 적용할 수 있게 합니다.

Patch Manager는 각 인스턴스의 패치 규정 준수 상태를 보고하며, 이러한 결과는 AWS Config와 Security Hub로 전달됩니다. 어떤 시스템이 최신 상태가 아닌지 서버 집합 전체를 확인할 수 있으므로, 패치 상태를 시험에서 추적해야 하는 측정 가능하고 감사 가능한 보안 지표로 관리할 수 있습니다.

패치 외에도 State Manager는 인스턴스를 원하는 구성 상태로 유지합니다. 예를 들어 바이러스 백신 에이전트가 실행 중인지 또는 특정 설정이 계속 적용되는지 확인할 수 있습니다. 구성을 지속적으로 적용하고 다시 적용하여 변경 이탈을 방지하므로, 강화된 기준선이 시간이 지나면서 약화되지 않습니다.

SSM Inventory는 서버 집합 전체에서 설치된 소프트웨어, 네트워크 구성 등의 메타데이터를 수집합니다. Patch Manager 및 State Manager와 함께 사용하면 보안 팀이 무엇이 어디에서 실행 중인지 완전히 파악할 수 있어, 승인되지 않은 소프트웨어를 찾고 강화 표준이 충족되었는지 확인하는 데 필수적입니다.

패치가 필요한 취약성을 찾기 위해 Amazon Inspector는 EC2 인스턴스와 컨테이너 이미지를 알려진 CVE(Common Vulnerabilities and Exposures)에 대해 지속적으로 검사합니다. Inspector는 SSM Agent를 사용하여 인스턴스를 평가한 다음 우선순위가 지정된 결과를 Security Hub로 전달합니다. 이렇게 Inspector가 위험을 식별하고 Patch Manager가 해결하는 순환이 완성됩니다.

대규모 엔드포인트 강화에는 Patch Manager와 패치 기준선, 유지 관리 기간, 태그 기반 패치 그룹을 사용하여 시스템을 최신 상태로 유지하고, 규정 준수 결과를 Config와 Security Hub에 보고하는 작업이 포함됩니다. State Manager는 구성 변경 이탈을 방지하고 Inventory는 서버 집합 전체의 가시성을 제공하여, 전체 서버 집합을 자동으로 강화된 상태로 유지합니다.

엔드포인트 강화를 테스트하십시오.

서버 집합을 강화된 상태로 유지하려면 Patch Manager와 패치 기준선(승인 규칙), 유지 관리 기간(패치 시점), 태그 기반 패치 그룹(적용할 기준선)을 사용합니다. 규정 준수 보고서는 AWS Config와 Security Hub로 전달됩니다. State Manager는 구성 변경 이탈을 막고 Inventory는 설치된 소프트웨어와 설정에 대한 서버 집합 전체의 가시성을 제공합니다.