Защита конечных точек и Patch Manager

Одного защищенного доступа недостаточно: сами экземпляры должны оставаться укрепленными и обновленными. AWS Systems Manager (SSM) предоставляет Patch Manager и связанные инструменты, чтобы поддерживать весь парк в актуальном состоянии и правильно настроенным. Гигиена конечных точек в больших масштабах — постоянная тема SCS-C02, поскольку неустановленные обновления являются одной из главных причин взломов.

Большинство успешных атак используют известные уязвимости, которые исправило бы обновление. В большом парке невозможно вручную отслеживать, какому экземпляру какое обновление требуется. Автоматизация управления обновлениями сокращает промежуток между раскрытием уязвимости и ее устранением, напрямую снижая риск для всех рабочих нагрузок.

Patch Manager автоматизирует обновление операционных систем и поддерживаемых приложений на серверах EC2 и локальных серверах. Он проверяет экземпляры на наличие отсутствующих обновлений, формирует отчеты о соответствии и устанавливает одобренные обновления по расписанию. Он работает с Linux и Windows и интегрируется с остальными компонентами Systems Manager.

Базовая линия обновлений определяет, какие обновления одобрены для установки, обычно по уровню серьезности, категории и задержке автоматического одобрения (например, критические обновления одобряются через семь дней после выпуска). Базовые линии позволяют сбалансировать безопасность и стабильность, гарантируя, что в важные среды поступают только проверенные обновления.

Установка обновлений выполняется во время окон обслуживания — запланированных периодов, когда SSM может устанавливать обновления и перезапускать экземпляры. Это переносит disruptive-операции на безопасное время, поэтому производственные рабочие нагрузки обновляются предсказуемо, а не случайным образом, что позволяет сбалансировать требования безопасности и доступность.

Группы обновлений используют теги, чтобы применять разные базовые линии к разным наборам экземпляров. Например, группа "Critical-Servers" может использовать консервативную базовую линию с более длительными задержками, а группа "Dev" — устанавливать обновления агрессивно. Группировка на основе тегов позволяет единообразно масштабировать политики обновлений на большом неоднородном парке.

Patch Manager сообщает о состоянии соответствия обновлениям каждого экземпляра, а эти результаты поступают в AWS Config и Security Hub. Вы получаете общую картину того, какие системы устарели, превращая состояние обновлений в измеримый и проверяемый показатель безопасности, который, согласно требованиям экзамена, необходимо отслеживать.

Помимо обновлений, State Manager поддерживает для экземпляров требуемое состояние конфигурации, например гарантирует работу антивирусного агента или сохранение определенного параметра. Он непрерывно применяет и повторно применяет конфигурацию, предотвращая отклонения, чтобы защищенные базовые настройки со временем не ухудшались.

Инвентаризация SSM собирает метаданные об установленном программном обеспечении, сетевой конфигурации и других компонентах всего парка. В сочетании с Patch Manager и State Manager она дает командам безопасности полное представление о том, что и где запущено, что необходимо для обнаружения несанкционированного программного обеспечения и подтверждения соблюдения стандартов защиты.

Чтобы находить уязвимости, требующие установки обновлений, Amazon Inspector непрерывно проверяет экземпляры EC2 и образы контейнеров на наличие известных CVE (Common Vulnerabilities and Exposures). Inspector использует SSM Agent для оценки экземпляров, а затем передает приоритетные результаты в Security Hub, замыкая цикл: Inspector выявляет риск, а Patch Manager устраняет его.

Масштабное укрепление конечных точек использует Patch Manager с базовыми линиями обновлений, окнами обслуживания и основанными на тегах группами обновлений, чтобы поддерживать системы в актуальном состоянии и передавать отчеты о соответствии в Config и Security Hub. State Manager предотвращает отклонения конфигурации, а Инвентаризация обеспечивает видимость всего парка, вместе автоматически поддерживая его защищенность.

Проверьте укрепление конечных точек.

Для поддержания защищенности всего парка используется Patch Manager с базовыми линиями обновлений (правила одобрения), окнами обслуживания (когда устанавливать обновления) и основанными на тегах группами обновлений (какая базовая линия применяется). Отчеты о соответствии поступают в AWS Config и Security Hub. State Manager предотвращает отклонения конфигурации, а Инвентаризация обеспечивает видимость установленного программного обеспечения и параметров во всем парке.