Zabezpieczanie punktów końcowych i Patch Manager

Bezpieczny dostęp to nie wszystko — same instancje muszą pozostać zahartowane i załatane. AWS Systems Manager (SSM) udostępnia Patch Manager i powiązane narzędzia, które pomagają aktualizować całą flotę i utrzymywać jej prawidłową konfigurację. Higiena punktów końcowych na dużą skalę jest stałym tematem SCS-C02, ponieważ niezałatane systemy są jedną z głównych przyczyn naruszeń bezpieczeństwa.

Większość skutecznych ataków wykorzystuje znane luki w zabezpieczeniach, które zostałyby usunięte przez odpowiednią poprawkę. W przypadku dużej floty ręczne śledzenie, która instancja wymaga której aktualizacji, jest niemożliwe. Automatyzacja zarządzania poprawkami skraca czas między ujawnieniem luki a jej usunięciem, bezpośrednio zmniejszając ryzyko we wszystkich obciążeniach.

Patch Manager automatyzuje instalowanie poprawek systemów operacyjnych i obsługiwanych aplikacji na serwerach EC2 oraz lokalnych. Skanuje instancje w poszukiwaniu brakujących poprawek, raportuje stan zgodności i zgodnie z harmonogramem instaluje zatwierdzone aktualizacje. Działa w systemach Linux i Windows oraz integruje się z pozostałymi funkcjami Systems Manager.

Linia bazowa poprawek określa, które poprawki są zatwierdzone do instalacji, często na podstawie ważności, klasyfikacji i opóźnienia automatycznego zatwierdzania (na przykład zatwierdzając krytyczne poprawki siedem dni po ich wydaniu). Linie bazowe pozwalają równoważyć bezpieczeństwo i stabilność, zapewniając, że wrażliwe środowiska otrzymają wyłącznie sprawdzone aktualizacje.

Instalowanie poprawek odbywa się podczas okien konserwacyjnych — zaplanowanych okresów, w których SSM może instalować aktualizacje i ponownie uruchamiać instancje. Dzięki temu operacje powodujące zakłócenia są ograniczone do bezpiecznych terminów, a obciążenia produkcyjne są aktualizowane w przewidywalny sposób, a nie losowo, co pozwala zrównoważyć wymagania bezpieczeństwa i dostępność.

Grupy poprawek używają tagów do stosowania różnych linii bazowych wobec różnych zestawów instancji. Na przykład grupa "Critical-Servers" może korzystać z zachowawczej linii bazowej z dłuższymi opóźnieniami, podczas gdy grupa "Dev" może instalować poprawki agresywnie. Grupowanie oparte na tagach pozwala sprawnie skalować zasady instalowania poprawek w dużej i zróżnicowanej flocie.

Patch Manager raportuje stan zgodności z poprawkami każdej instancji, a wyniki te trafiają do usług AWS Config i Security Hub. Otrzymują Państwo widok całej floty pokazujący, które systemy są nieaktualne, dzięki czemu stan poprawek staje się mierzalnym i możliwym do skontrolowania wskaźnikiem bezpieczeństwa, którego śledzenia wymaga egzamin.

Poza poprawkami State Manager utrzymuje instancje w pożądanym stanie konfiguracji, na przykład zapewniając działanie agenta antywirusowego lub wymuszając określone ustawienie. Nieustannie stosuje i ponownie stosuje konfigurację, zapobiegając rozbieżnościom, aby zahartowane linie bazowe nie ulegały z czasem osłabieniu.

Inventory usługi SSM zbiera w całej flocie metadane dotyczące zainstalowanego oprogramowania, konfiguracji sieci i innych elementów. W połączeniu z Patch Manager i State Manager zapewnia zespołom ds. bezpieczeństwa pełną widoczność tego, co jest uruchomione i gdzie, co ma kluczowe znaczenie przy wykrywaniu nieautoryzowanego oprogramowania i potwierdzaniu spełnienia standardów wzmacniania zabezpieczeń.

Aby znaleźć luki wymagające zainstalowania poprawek, Amazon Inspector nieustannie skanuje instancje EC2 i obrazy kontenerów pod kątem znanych CVE (Common Vulnerabilities and Exposures). Inspector korzysta z agenta SSM do oceny instancji, a następnie przekazuje ustalenia o określonym priorytecie do Security Hub, zamykając cały cykl: Inspector identyfikuje ryzyko, a Patch Manager usuwa jego przyczynę.

Wzmacnianie zabezpieczeń punktów końcowych na dużą skalę wykorzystuje Patch Manager wraz z liniami bazowymi poprawek, oknami konserwacyjnymi i opartymi na tagach grupami poprawek, aby utrzymywać aktualność systemów i raportować zgodność do Config oraz Security Hub. State Manager zapobiega rozbieżnościom konfiguracji, a Inventory zapewnia widoczność całej floty, dzięki czemu cała flota jest automatycznie zabezpieczana.

Sprawdź wzmacnianie zabezpieczeń punktów końcowych.

Utrzymywanie zabezpieczeń całej floty wykorzystuje Patch Manager wraz z liniami bazowymi poprawek (zasady zatwierdzania), oknami konserwacyjnymi (kiedy instalować poprawki) i opartymi na tagach grupami poprawek (która linia bazowa ma zastosowanie). Raporty zgodności trafiają do usług AWS Config i Security Hub. State Manager zapobiega rozbieżnościom konfiguracji, a Inventory zapewnia widoczność zainstalowanego oprogramowania i ustawień w całej flocie.