การเสริมความปลอดภัยปลายทางและ Patch Manager

การรักษาความปลอดภัยของการเข้าถึงเพียงอย่างเดียวยังไม่เพียงพอ อินสแตนซ์เองก็ต้องได้รับการเสริมความแข็งแกร่งและติดตั้งแพตช์อยู่เสมอ AWS Systems Manager (SSM) มีตัวจัดการแพตช์และเครื่องมือที่เกี่ยวข้องเพื่อทำให้กลุ่มอินสแตนซ์ทั้งหมดเป็นปัจจุบันและกำหนดค่าได้อย่างถูกต้อง สุขอนามัยของปลายทางในระดับใหญ่เป็นหัวข้อสำคัญที่พบซ้ำในการสอบ SCS-C02 เนื่องจากระบบที่ไม่ได้ติดตั้งแพตช์เป็นสาเหตุหลักของการถูกเจาะระบบ

การโจมตีที่ประสบความสำเร็จส่วนใหญ่ใช้ช่องโหว่ที่ทราบแล้วซึ่งแพตช์สามารถแก้ไขได้ ในกลุ่มอินสแตนซ์ขนาดใหญ่ การติดตามด้วยตนเองว่าอินสแตนซ์ใดต้องการการอัปเดตใดเป็นเรื่องที่ทำไม่ได้ การทำให้การจัดการแพตช์เป็นอัตโนมัติช่วยลดช่วงเวลาระหว่างการเปิดเผยช่องโหว่กับการแก้ไขช่องโหว่นั้น และลดความเสี่ยงโดยตรงในทุกเวิร์กโหลด

ตัวจัดการแพตช์ทำให้การติดตั้งแพตช์สำหรับระบบปฏิบัติการและแอปพลิเคชันที่รองรับบน EC2 และเซิร์ฟเวอร์ภายในองค์กรเป็นอัตโนมัติ โดยจะสแกนอินสแตนซ์เพื่อค้นหาแพตช์ที่ขาดหาย รายงานสถานะการปฏิบัติตามข้อกำหนด และติดตั้งการอัปเดตที่ได้รับอนุมัติตามกำหนดเวลา รองรับทั้ง Linux และ Windows และทำงานร่วมกับส่วนอื่น ๆ ของ Systems Manager ได้

เกณฑ์พื้นฐานของแพตช์กำหนดว่าแพตช์ใดได้รับอนุมัติให้ติดตั้ง โดยมักพิจารณาจากความรุนแรง ประเภท และระยะเวลาหน่วงก่อนอนุมัติอัตโนมัติ เช่น อนุมัติแพตช์ระดับวิกฤตเจ็ดวันหลังเผยแพร่ เกณฑ์พื้นฐานช่วยให้คุณสร้างสมดุลระหว่างความปลอดภัยกับเสถียรภาพ และทำให้มั่นใจได้ว่าจะเผยแพร่เฉพาะการอัปเดตที่ผ่านการตรวจสอบแล้วไปยังสภาพแวดล้อมที่มีความละเอียดอ่อน

การติดตั้งแพตช์จะทำงานในช่วงเวลาบำรุงรักษา ซึ่งเป็นช่วงเวลาที่กำหนดไว้และ SSM สามารถติดตั้งการอัปเดตและรีบูตอินสแตนซ์ได้ วิธีนี้จำกัดการดำเนินการที่อาจรบกวนระบบให้อยู่ในช่วงเวลาที่ปลอดภัย ทำให้เวิร์กโหลดที่ใช้งานจริงได้รับแพตช์ตามแผนอย่างคาดการณ์ได้ แทนที่จะเกิดขึ้นแบบสุ่ม และช่วยสร้างสมดุลระหว่างความต้องการด้านความปลอดภัยกับความพร้อมใช้งาน

กลุ่มแพตช์ใช้แท็กเพื่อใช้เกณฑ์พื้นฐานที่แตกต่างกันกับอินสแตนซ์แต่ละชุด ตัวอย่างเช่น กลุ่ม "Critical-Servers" อาจใช้เกณฑ์พื้นฐานแบบระมัดระวังและมีระยะเวลาหน่วงนานกว่า ขณะที่กลุ่ม "Dev" ติดตั้งแพตช์อย่างรวดเร็ว การจัดกลุ่มด้วยแท็กช่วยขยายการใช้นโยบายแพตช์ไปยังกลุ่มอินสแตนซ์ขนาดใหญ่และหลากหลายได้อย่างเป็นระบบ

ตัวจัดการแพตช์รายงานสถานะการปฏิบัติตามข้อกำหนดด้านแพตช์ของแต่ละอินสแตนซ์ และผลลัพธ์เหล่านี้จะถูกส่งต่อไปยัง AWS Config และ Security Hub คุณจะเห็นภาพรวมทั้งกลุ่มอินสแตนซ์ว่าระบบใดล้าสมัย ทำให้สถานะแพตช์กลายเป็นตัวชี้วัดความปลอดภัยที่วัดผลและตรวจสอบได้ ซึ่งข้อสอบคาดหวังให้คุณติดตาม

นอกเหนือจากแพตช์แล้ว State Manager ยังช่วยรักษาให้อินสแตนซ์อยู่ในสถานะการกำหนดค่าที่ต้องการ เช่น ตรวจสอบให้แน่ใจว่าเอเจนต์ป้องกันไวรัสทำงานอยู่หรือการตั้งค่าถูกบังคับใช้อย่างต่อเนื่อง ระบบจะใช้และนำการกำหนดค่ากลับมาใช้ซ้ำอย่างต่อเนื่อง เพื่อป้องกันการเบี่ยงเบนของการกำหนดค่าและไม่ให้เกณฑ์พื้นฐานด้านความปลอดภัยเสื่อมลงเมื่อเวลาผ่านไป

Inventory ของ SSM รวบรวมข้อมูลเมตาเกี่ยวกับซอฟต์แวร์ที่ติดตั้ง การกำหนดค่าเครือข่าย และข้อมูลอื่น ๆ ทั่วทั้งกลุ่มอินสแตนซ์ เมื่อใช้ร่วมกับตัวจัดการแพตช์และ State Manager จะช่วยให้ทีมรักษาความปลอดภัยมองเห็นได้อย่างครบถ้วนว่ามีสิ่งใดทำงานอยู่ที่ใด ซึ่งจำเป็นต่อการตรวจหาซอฟต์แวร์ที่ไม่ได้รับอนุญาตและยืนยันว่าเป็นไปตามมาตรฐานการเสริมความแข็งแกร่ง

หากต้องการค้นหาช่องโหว่ที่ต้องติดตั้งแพตช์ Amazon Inspector จะสแกนอินสแตนซ์ EC2 และอิมเมจคอนเทนเนอร์อย่างต่อเนื่อง โดยเปรียบเทียบกับ CVE ที่ทราบแล้ว (ช่องโหว่และการเปิดเผยทั่วไป) Inspector ใช้ SSM Agent เพื่อประเมินอินสแตนซ์ แล้วส่งผลการตรวจพบที่จัดลำดับความสำคัญไปยัง Security Hub ทำให้กระบวนการครบวงจร: Inspector ระบุความเสี่ยง และตัวจัดการแพตช์แก้ไขความเสี่ยงนั้น

การเสริมความแข็งแกร่งให้ปลายทางในระดับใหญ่ใช้ตัวจัดการแพตช์ร่วมกับเกณฑ์พื้นฐานของแพตช์ ช่วงเวลาบำรุงรักษา และกลุ่มแพตช์ที่อิงแท็ก เพื่อทำให้ระบบเป็นปัจจุบัน พร้อมรายงานการปฏิบัติตามข้อกำหนดไปยัง Config และ Security Hub State Manager ป้องกันการเบี่ยงเบนของการกำหนดค่า และInventoryให้การมองเห็นทั่วทั้งกลุ่มอินสแตนซ์ ทั้งหมดนี้ช่วยรักษาความแข็งแกร่งของกลุ่มอินสแตนซ์โดยอัตโนมัติ

ทดสอบการเสริมความแข็งแกร่งให้ปลายทาง

การรักษาความแข็งแกร่งของกลุ่มอินสแตนซ์ใช้ตัวจัดการแพตช์ร่วมกับเกณฑ์พื้นฐานของแพตช์ (กฎการอนุมัติ) ช่วงเวลาบำรุงรักษา (เวลาที่จะติดตั้งแพตช์) และกลุ่มแพตช์ที่อิงแท็ก (ใช้เกณฑ์พื้นฐานใด) รายงานการปฏิบัติตามข้อกำหนดจะถูกส่งไปยัง AWS Config และ Security Hub State Managerหยุดการเบี่ยงเบนของการกำหนดค่า และInventoryให้การมองเห็นทั่วทั้งกลุ่มอินสแตนซ์เกี่ยวกับซอฟต์แวร์และการตั้งค่าที่ติดตั้งไว้