加固端点和补丁管理器

仅保护访问还不够，实例本身也必须保持加固并安装补丁。AWS Systems Manager（SSM）提供补丁管理器及相关工具，使整个实例集群保持最新状态并正确配置。大规模端点卫生是 SCS-C02 的常考主题，因为未安装补丁的系统是导致安全漏洞的主要原因之一。

大多数成功的攻击都利用了已知漏洞，而安装补丁本可以修复这些漏洞。在大型实例集群中，手动跟踪每个实例需要哪些更新是不可能的。自动化补丁管理可以缩短漏洞披露到修复之间的时间窗口，从而直接降低所有工作负载的风险。

补丁管理器可以自动为 EC2 和本地服务器上的操作系统及受支持应用程序安装补丁。它会扫描实例以查找缺失的补丁、报告合规状态，并按计划安装获批准的更新。它同时支持 Linux 和 Windows，并与系统管理器的其他功能集成。

补丁基线定义了哪些补丁获准安装，通常依据严重性、分类以及自动批准延迟时间来确定（例如，在关键补丁发布七天后批准安装）。基线可以帮助您在安全性和稳定性之间取得平衡，确保只有经过审查的更新才会部署到敏感环境中。

补丁会在维护时段内运行。维护时段是 SSM 可以安装更新并重启实例的计划时间段。这样可以将有干扰的操作安排在安全时段，使生产工作负载能够按计划而不是随机地安装补丁，在安全需求和可用性之间取得平衡。

补丁组使用标签，将不同的基线应用于不同的实例集合。例如，名为“Critical-Servers”的组可以使用延迟更长的保守基线，而名为“Dev”的组则可以积极安装补丁。基于标签的分组可以在大型且多样化的实例集群中清晰地扩展补丁策略。

补丁管理器会报告每个实例的补丁合规状态，这些结果还会流入 AWS Config 和 Security Hub。您可以从整个实例集群的角度查看哪些系统已过时，将补丁状态转化为可度量、可审核的安全指标，这是考试要求您掌握的内容。

除了补丁之外，状态管理器还可以让实例保持所需的配置状态，例如确保防病毒代理正在运行，或确保某项设置始终生效。它会持续应用并重新应用配置，防止配置漂移，使加固基线不会随着时间推移而逐渐失效。

SSM 清单会收集整个实例集群中已安装软件、网络配置等元数据。它与补丁管理器和状态管理器结合后，可以让安全团队全面了解各处正在运行的内容，这对于发现未经授权的软件以及确认是否符合加固标准至关重要。

为了发现需要修补的漏洞，Amazon Inspector 会持续根据已知 CVE（通用漏洞披露）扫描 EC2 实例和容器映像。Inspector 依靠 SSM Agent 评估实例，然后将按优先级排序的发现结果发送到 Security Hub，从而形成闭环：Inspector 识别风险，补丁管理器负责修复风险。

大规模端点加固使用带有补丁基线、维护时段和基于标签的补丁组的补丁管理器来保持系统更新，并将合规报告发送到 Config 和 Security Hub。状态管理器可以防止配置漂移，而清单提供整个实例集群的可见性，二者共同使整个实例集群能够自动保持加固状态。

测试端点加固。

保持实例集群加固状态，需要使用带有补丁基线（批准规则）、维护时段（何时安装补丁）和基于标签的补丁组（应用哪个基线）的补丁管理器。合规报告会流入 AWS Config 和 Security Hub。状态管理器可以阻止配置漂移，而清单则提供整个实例集群中已安装软件和设置的可见性。