Проверки безопасности Trusted Advisor

AWS Trusted Advisor проверяет Вашу учетную запись на соответствие лучшим практикам AWS и выдает рекомендации в порядке приоритета.

Он охватывает пять категорий: оптимизация затрат, производительность, безопасность, отказоустойчивость и ограничения сервисов. На экзамене основное внимание уделяется проверкам безопасности.

Проверки безопасности Trusted Advisor выявляют распространенные опасные настройки, например:

• Бакеты S3 с открытыми разрешениями.
• Группы безопасности с неограниченными портами, например 0.0.0.0/0 для SSH.
• Использование IAM и включена ли MFA для корневой учетной записи.

Глубина проверок Trusted Advisor зависит от Вашего плана поддержки.

• Планы Basic и Developer включают основной набор проверок.
• Планы Business и Enterprise открывают полный набор проверок во всех категориях.

На более высоких уровнях поддержки становится доступно больше проверок безопасности.

Каждая проверка показывает статус: зеленый (проблем нет), желтый (требуется проверка) или красный (рекомендуется принять меры).

При подробном просмотре отображаются затронутые ресурсы и предлагаемое исправление. Поэтому Trusted Advisor подходит для быстрой оценки состояния, а не для глубокого расследования.

Проверки обновляются по расписанию, а после внесения изменений Вы можете обновить их вручную.

Trusted Advisor может отправлять еженедельные сводки по электронной почте и интегрироваться с EventBridge, поэтому изменение статуса может запускать автоматическое оповещение или рабочий процесс.

Важная проверка безопасности подтверждает, включена ли MFA для корневого пользователя.

Корневая учетная запись может выполнять любые действия, поэтому ее следует защищать с помощью MFA и использовать крайне редко. Trusted Advisor отмечает отсутствие MFA для корневой учетной записи как красный результат, требующий обязательного исправления.

Хотя проверки ограничений сервисов не относятся непосредственно к безопасности, они важны для отказоустойчивости.

Достижение ограничения во время инцидента, например невозможность запустить заменяющие экземпляры, может продлить простой. Trusted Advisor предупреждает о приближении к квотам, чтобы Вы могли заранее запросить их увеличение.

Оба сервиса выявляют ошибочные настройки, но выполняют разные задачи:

• Trusted Advisor предоставляет широкие проверки лучших практик на уровне учетной записи в пяти категориях.
• Security Hub выполняет углубленные проверки стандартов безопасности и объединяет результаты проверок множества сервисов безопасности.

Security Hub — более глубокий инструмент, ориентированный на безопасность.

При наличии подходящего плана поддержки Trusted Advisor предоставляет представление организации, объединяя результаты проверок по всем учетным записям.

Центральная команда может в одном месте увидеть, в каких учетных записях открыты группы безопасности или не включена MFA для корневого пользователя, что помогает масштабировать управление.

Trusted Advisor включает проверку, которая сканирует общедоступные репозитории кода на наличие раскрытых ключей доступа IAM, связанных с вашей учетной записью.

Если разработчик случайно добавит ключ в общедоступный репозиторий, эта проверка может обнаружить его, чтобы Вы успели отозвать и заменить ключ до того, как злоумышленник воспользуется им. Это ценный сигнал раннего предупреждения о весьма распространенной причине утечек.

Используйте Trusted Advisor для быстрой проверки соответствия лучшим практикам, особенно чтобы выявлять типичные ошибки настройки: открытые корзины S3, полностью открытые группы безопасности и отсутствие MFA для корневого пользователя.

Это оптимальный выбор, когда в сценарии требуется быстро получить список рекомендаций AWS, а не провести глубокий анализ.

Выберите подходящий инструмент.

Вы узнали, как Trusted Advisor проверяет соответствие лучшим практикам.

• Его категория безопасности выявляет открытые корзины, чрезмерно открытые группы безопасности и отсутствие MFA для корневого пользователя.
• Глубина проверки зависит от плана поддержки; более высокие уровни открывают доступ ко всем проверкам.
• Он предоставляет представление организации и оповещения EventBridge.