Əsas fikir
Əvvəlcə kimin hansı resurslara cavabdeh olduğunu müəyyənləşdirin. Sonra girişləri məhdudlaşdırın, məlumatı qoruyun, dəyişiklikləri qeydə alın və bərpa sınaqlarını aparın.
Hesabları və şəxsiyyətləri idarə edin
İşlək mühit, sınaq və jurnal arxivləri üçün istifadə olunan AWS hesablarını inventarlaşdırın və hər birinə texniki sahib təyin edin. İnsan girişini mərkəzləşdirilmiş identifikasiya ilə verin; iş yükləri üçün uzunömürlü açarlar əvəzinə mümkün olduqda IAM rolları və müvəqqəti etimadnamələrdən istifadə edin. İcazələri vəzifəyə uyğun minimumla məhdudlaşdırın, imtiyazlı girişə çoxfaktorlu autentifikasiya tətbiq edin, istifadə olunmayan istifadəçi, rol və açarları dövri nəzərdən keçirin. Root hesabını gündəlik işlər üçün istifadə etməyin.
Məlumatın açıqlığını və resurslara girişi yoxlayın
Məlumatın həssaslığını və ictimaiyyətə açıq olmasının əsaslı olub-olmadığını qeyd edin. S3 üçün Block Public Access, bucket siyasətləri və Object Ownership parametrlərini yoxlayın. Bucket owner enforced ACL-ləri deaktiv edir; ACL-ləri yalnız aktiv olduqda nəzərdən keçirin, bu yoxlama üçün aktivləşdirməyin. Zəruri istisnaları sənədləşdirin və məsul sahibin təsdiqini alın. Həssas məlumatın saxlanma və ötürülmə zamanı şifrələnməsini, açarların kim tərəfindən istifadə və idarə edildiyini yoxlayın. Tətbiq sirlərini kodda deyil, təsdiqlənmiş sirr idarəetmə sistemində saxlayın. Şifrələmə və açar siyasətlərini xidmətə uyğun seçin: bir parametr bütün AWS resurslarının riskini aradan qaldırmır.
Dəyişiklikləri qeydə alın və bazanı izləyin
CloudTrail ilə AWS API fəaliyyətinin qeyd edilməsini planlaşdırın, jurnalları məhdudlaşdırılmış girişli mərkəzi saxlama yerinə yönəldin və lazım olan hadisə növlərini seçin. AWS Config və ya uyğun nəzarət vasitəsi ilə resurs konfiqurasiyalarını qeydə alıb təsdiqlənmiş bazadan kənarlaşmaları aşkar edin. Xəbərdarlıqlar üçün cavabdeh komanda və eskalasiya yolunu müəyyən edin. Qeydiyyatın özü insidenti dayandırmır; jurnalların tamlığı, saxlanması, axtarışı və əməliyyatlarda istifadəsi ayrıca yoxlanmalıdır. İdarəetmə hadisələrini S3 obyektlərinin oxunması və yazılması kimi seçilmiş məlumat hadisələrindən ayırın. Trail və hadisə məlumat anbarlarında məlumat hadisələri standart olaraq qeydə alınmır; lazım olan resurs və əməliyyatlar üçün hadisə selektorlarını yoxlayın.
| Sual | Yoxlanacaq sübut | Əlavə yoxlama |
|---|---|---|
| İnzibati dəyişiklik | İdarəetmə hadisəsinin qeydi | Hesab və region əhatəsi, saxlanma müddəti |
| Obyektin oxunması və yazılması | Seçilmiş məlumat hadisəsinin qeydi | Hadisə selektorlarının əhatəsi |
| Konfiqurasiya sapması | Konfiqurasiya tarixçəsi və ya bazadan sapma | Sahib və düzəliş |
| Bərpa | Bərpa nəticəsi | Asılılıqlar və hədəflərlə müqayisə olunan ölçülmüş bərpa nəticələri |
İş yüklərini və bərpanı qoruyun
EC2 kimi IaaS resurslarında qonaq əməliyyat sistemi, tətbiqlər, şəbəkə qaydaları və proqram düzəlişləri üçün müştərinin üzərinə düşən işi müəyyən edin. Aktivləri avtomatik aşkarlayan və zəiflik məlumatlarını yenilənmiş saxlayan skan vasitəsi seçin; aşkarlanmış problemləri məsul şəxsə yönləndirin və düzəlişlərin tətbiqi üçün vaxt aralığı müəyyən edin, çünki skan özü zəifliyi aradan qaldırmır. Yeni mühitləri nəzərdən keçirilmiş infrastruktur kodu şablonlarından qurun, dəyişiklikləri nəzərdən keçirin və gözlənilməz açıq portları, ictimai yaddaşı, həddindən artıq icazələri və köhnəlmiş paketləri yoxlayın. Məlumatın ehtiyat nüsxələrini elə yerdə saxlayın ki, eyni insidentin həm ilkin məlumatlara, həm də nüsxələrə təsir etmə ehtimalı daha az olsun. Bərpa məşqi aparın. İdarə olunan xidmətlərdə məsuliyyət sərhədi xidmətə görə dəyişə bilər; hər AWS xidməti üçün sənədləri yoxlayın.
Davamlılıq və təhlükəsiz dəyişiklikləri planlaşdırın
Əlçatanlıq zonaları arasında ehtiyat yerləşdirmə yalnız tətbiq, asılılıqlar və məlumat replikasiyası buna uyğun qurulanda nasazlıq təsirini azalda bilər. Kritik xidmətlər üçün asılılıqları, sağlamlıq yoxlamalarını və trafik keçidini test edin; ehtiyat nüsxələri ayrıca qoruyun. Zonalararası yerləşdirmə və replikasiya təcrid olunmuş bərpa nüsxələrini və sınaqdan keçirilmiş bərpanı əvəz etmir. İnfrastruktur şablonlarının dəyişikliklərini yoxlama və geri qaytarma addımları ilə buraxın. Xidmət və məlumat sinfinə uyğun bərpa hədəfi seçin, sonra real məşqdə ölçün.