Beveiligingscontroles van Trusted Advisor

AWS Trusted Advisor controleert je account aan de hand van best practices van AWS en geeft geprioriteerde aanbevelingen.

Het omvat vijf categorieën: kostenoptimalisatie, prestaties, beveiliging, fouttolerantie en servicelimieten. Voor het examen ligt de nadruk op de beveiligingscontroles.

De beveiligingscontroles van Trusted Advisor brengen veelvoorkomende risicovolle instellingen aan het licht, zoals:

• S3-buckets met open machtigingen.
• Beveiligingsgroepen met onbeperkte poorten, zoals 0.0.0.0/0 voor SSH.
• IAM-gebruik en of MFA voor het root-account is ingeschakeld.

De diepgang van Trusted Advisor hangt af van je supportplan.

• De plannen Basic en Developer krijgen een basisset controles.
• De plannen Business en Enterprise ontgrendelen de volledige controleset in alle categorieën.

Op de hogere supportniveaus komen meer beveiligingscontroles beschikbaar.

Elke controle toont een status: groen (geen probleem), geel (onderzoeken) of rood (actie aanbevolen).

Als je doorklikt, zie je de getroffen resources en de voorgestelde oplossing. Daardoor is Trusted Advisor een snelle gezondheidscontrole en geen hulpmiddel voor diepgaand onderzoek.

Controles worden volgens een schema vernieuwd en je kunt ze handmatig vernieuwen nadat je wijzigingen hebt aangebracht.

Trusted Advisor kan wekelijkse e-mailsamenvattingen verzenden en integreren met EventBridge, zodat een statuswijziging een automatische waarschuwing of workflow kan activeren.

Een waardevolle beveiligingscontrole bevestigt of MFA is ingeschakeld voor de rootgebruiker.

Het root-account kan alles uitvoeren en moet met MFA worden beveiligd en zelden worden gebruikt. Trusted Advisor markeert ontbrekende MFA voor de rootgebruiker als een rode bevinding die absoluut moet worden opgelost.

Hoewel de controles van servicelimieten niet strikt over beveiliging gaan, zijn ze belangrijk voor veerkracht.

Als je tijdens een incident een limiet bereikt, bijvoorbeeld doordat je geen vervangende instances kunt starten, kan een storing langer duren. Trusted Advisor waarschuwt wanneer je quota nadert, zodat je op tijd verhogingen kunt aanvragen.

Beide brengen verkeerde configuraties aan het licht, maar ze verschillen:

• Trusted Advisor biedt brede controles op accountniveau voor best practices in vijf categorieën.
• Security Hub voert diepgaande beveiligingsstandaarden uit en voegt bevindingen uit veel beveiligingsservices samen.

Security Hub is het diepgaandere, op beveiliging gerichte hulpmiddel.

Met het juiste ondersteuningsplan biedt Trusted Advisor een organisatieweergave waarin controles voor alle accounts worden samengevoegd.

Een centraal team kan op één plek zien welke accounts open beveiligingsgroepen of ontbrekende MFA voor de rootgebruiker hebben. Zo wordt governance op grote schaal ondersteund.

Trusted Advisor bevat een controle die openbare coderepositories scant op blootgestelde IAM-toegangssleutels die aan je account zijn gekoppeld.

Als een ontwikkelaar per ongeluk een sleutel naar een openbare repository commit, kan deze controle dat signaleren. Je kunt de sleutel dan intrekken en rouleren voordat een aanvaller er misbruik van maakt. Het is een waardevol vroegtijdig waarschuwingssignaal voor een veelvoorkomende oorzaak van datalekken.

Gebruik Trusted Advisor voor een snelle controle van best practices, vooral voor klassieke verkeerde configuraties zoals openbare S3-buckets, veel te ruime beveiligingsgroepen en ontbrekende MFA voor de rootgebruiker.

Dit is de aangewezen oplossing wanneer een scenario vraagt om een snelle, door AWS samengestelde lijst met aanbevelingen in plaats van een diepgaande analyse.

Je hebt geleerd hoe Trusted Advisor best practices controleert.

• De beveiligingscategorie signaleert openbare buckets, te ruime beveiligingsgroepen en ontbrekende MFA voor de rootgebruiker.
• De diepgang hangt af van het ondersteuningsplan; met hogere niveaus krijg je toegang tot alle controles.
• Het biedt een organisatieweergave en EventBridge-waarschuwingen.