Kontrole bezpieczeństwa Trusted Advisor

AWS Trusted Advisor sprawdza konto pod kątem najlepszych praktyk AWS i przedstawia uporządkowane według priorytetów rekomendacje.

Obejmuje pięć kategorii: optymalizację kosztów, wydajność, bezpieczeństwo, odporność na awarie i limity usług. Na egzaminie najważniejsze są kontrole bezpieczeństwa.

Kontrole bezpieczeństwa Trusted Advisor wykrywają typowe ryzykowne ustawienia, takie jak:

• Bulki S3 z otwartymi uprawnieniami.
• Grupy zabezpieczeń z nieograniczonymi portami (na przykład 0.0.0.0/0 dla SSH).
• Użycie IAM oraz informacja, czy MFA na koncie root jest włączone.

Zakres kontroli Trusted Advisor zależy od planu wsparcia.

• Plany Basic i Developer obejmują podstawowy zestaw kontroli.
• Plany Business i Enterprise odblokowują pełny zestaw kontroli we wszystkich kategoriach.

Na wyższych poziomach wsparcia dostępnych jest więcej kontroli bezpieczeństwa.

Każda kontrola pokazuje status: zielony (brak problemu), żółty (wymaga sprawdzenia) lub czerwony (zalecane działanie).

Szczegółowy widok pokazuje dotknięte zasoby i sugerowane rozwiązanie. Dzięki temu Trusted Advisor służy do szybkiego sprawdzania stanu, a nie do dogłębnego badania.

Kontrole są odświeżane zgodnie z harmonogramem, a po wprowadzeniu zmian można odświeżyć je ręcznie.

Trusted Advisor może wysyłać cotygodniowe podsumowania e-mail i integrować się z EventBridge, dzięki czemu zmiana statusu może uruchomić automatyczny alert lub przepływ pracy.

Jedna z najważniejszych kontroli bezpieczeństwa sprawdza, czy MFA jest włączone dla użytkownika root.

Konto root ma pełne uprawnienia, dlatego należy je zabezpieczyć za pomocą MFA i używać go bardzo rzadko. Trusted Advisor oznacza brak MFA dla konta root jako czerwone ustalenie wymagające pilnego rozwiązania.

Choć kontrole limitów usług nie dotyczą bezpośrednio bezpieczeństwa, mają znaczenie dla odporności.

Osiągnięcie limitu podczas awarii, na przykład brak możliwości uruchomienia instancji zastępczych, może przedłużyć przerwę w działaniu. Trusted Advisor ostrzega o zbliżaniu się do limitów, aby można było odpowiednio wcześnie poprosić o ich zwiększenie.

Oba narzędzia wskazują błędne konfiguracje, ale różnią się zakresem:

• Trusted Advisor zapewnia szerokie, obejmujące całe konto kontrole najlepszych praktyk w pięciu kategoriach.
• Security Hub przeprowadza szczegółowe kontrole zgodności ze standardami bezpieczeństwa i agreguje ustalenia z wielu usług bezpieczeństwa.

Security Hub jest narzędziem bardziej szczegółowym i skoncentrowanym na bezpieczeństwie.

Dzięki odpowiedniemu planowi wsparcia Trusted Advisor oferuje widok organizacyjny, zbierając wyniki kontroli ze wszystkich kont.

Zespół centralny może w jednym miejscu sprawdzić, które konta mają otwarte grupy zabezpieczeń lub nie mają włączonego MFA dla użytkownika root, co ułatwia zarządzanie zgodnością na dużą skalę.

Trusted Advisor obejmuje kontrolę, która skanuje publiczne repozytoria kodu w poszukiwaniu ujawnionych kluczy dostępu IAM powiązanych z Państwa kontem.

Jeśli deweloper przypadkowo zatwierdzi klucz w publicznym repozytorium, kontrola może to wykryć, dzięki czemu można unieważnić klucz i wygenerować nowy, zanim wykorzysta go napastnik. To cenny sygnał wczesnego ostrzegania przed bardzo częstą przyczyną naruszeń bezpieczeństwa.

Trusted Advisor warto używać do szybkiej kontroli zgodności z najlepszymi praktykami, zwłaszcza w przypadku typowych błędnych konfiguracji, takich jak otwarte zasobniki S3, nadmiernie otwarte grupy zabezpieczeń i brak MFA dla użytkownika root.

To właściwy wybór, gdy scenariusz wymaga szybkiej listy rekomendacji przygotowanej przez AWS, a nie szczegółowej analizy.

Wybierz narzędzie odpowiednie do zadania.

Dowiedzieli się Państwo, jak Trusted Advisor sprawdza zgodność z najlepszymi praktykami.

• Jego kategoria bezpieczeństwa wykrywa otwarte zasobniki, nadmiernie otwarte grupy zabezpieczeń i brak MFA dla użytkownika root.
• Zakres kontroli zależy od planu wsparcia; wyższe poziomy odblokowują wszystkie kontrole.
• Oferuje widok organizacyjny i alerty z EventBridge.