Əsas fikir
Əvvəlcə aktivləri və sahiblik məsuliyyətini müəyyən edin; sonra IAM, şəbəkə, saxlama və dəyişiklik axınlarını riskə görə yoxlayın.
Mühiti müşahidə etmək imkanını və hesabların idarə edilməsini təmin edin
İşlək mühitdə, sınaqlarda və köməkçi məqsədlər üçün istifadə olunan AWS hesablarını, regionları, resurs növlərini və məsul şəxsləri vahid inventarda göstərin. Yeni hesab və resurs yaratma qaydasını müəyyən edin; istifadə edilməyən hesabları və istifadədən kənarda qalmış resursları mütəmadi nəzərdən keçirin. CloudTrail hadisələrini mərkəzləşdirin və aşkar edilmiş hər təhlükəsizlik problemi üçün məsul şəxs təyin edin. AWS Config qeydləri və qaydalar üzrə qiymətləndirmə bütün yanlış konfiqurasiyaların qarşısını əvvəlcədən almır. S3 obyekt fəaliyyəti kimi CloudTrail data event-ləri ayrıca seçilməlidir.
| Nəzarət | Hansı suala cavab verir | Yoxlanacaq əhatə |
|---|---|---|
| AWS Config | Resurs konfiqurasiyası və qiymətləndirilən qaydalar | Dəstəklənən resurs növləri, recorder, hesablar və Region-lar |
| CloudTrail | API və hesab fəaliyyəti | Seçilmiş hadisə növləri, trail və ya event data store, saxlanma, hesablar və Region-lar |
| IAM və şəbəkə nəzarətləri | Kim əməliyyat edə və hansı trafik keçə bilər | Faktiki siyasətlər, rollar və ayrıca şəbəkə qaydaları |
IAM və şəbəkə qaydalarını daraldın
İnsanlar üçün federativ giriş və tələb olunan MFA, iş yükləri üçün isə uyğun rollar və qısamüddətli etimadnamələr seçin. Uzunömürlü açarlardan qaçın, mövcud açarları sahib, istifadə və rotasiya ehtiyacına görə nəzərdən keçirin. Siyasətləri real tapşırıq üçün lazım olan əməliyyat və resurslarla məhdudlaşdırın. Təhlükəsizlik qrupları və şəbəkə ACL-lərində internetdən inzibati portlara girişi bağlayın; zəruri istisnaları məhdud mənbə və müddətlə rəsmiləşdirin.
Məlumatın ifşasını və şifrələməni qiymətləndirin
S3-də əvvəlcə Object Ownership parametrini yoxlayın: yeni bucket-lərdə ACL-lər standart olaraq söndürülür, ona görə yalnız aktiv olduqda onları nəzərdən keçirin. Public Access Block və bucket siyasətlərini yoxlayın; ictimai oxunuş upload və yazma icazəsi demək deyil. İctimai giriş yalnız təsdiqlənmiş biznes məqsədi və məlumat sahibinin nəzarəti ilə saxlanmalıdır. Yeni S3 obyekt yükləmələri standart server-side şifrələmə alır; tələb olunan şifrələmə və açar siyasətlərini, köhnə məlumatı, giriş və ötürülmə qorunmasını yenə yoxlayın. Açar səlahiyyətlərini ayırın və rotasiyanı xidmət tələbinə uyğunlaşdırın. Snapshot, log və ehtiyat nüsxələrdə də eyni giriş və saxlanma qaydalarını tətbiq edin.
Dəyişiklikləri və düzəlişləri yoxlayın
İnfrastruktur kodunda təhlükəsizlik yoxlamalarını tətbiq edin, kod baxışını və dəyişiklik təsdiqini saxlayın, mümkün olduqda konfiqurasiyaları təsdiqlənmiş baza konfiqurasiyası ilə müqayisə edin. Aşkar edilmiş problemləri ciddilik, internetə açıqlıq, məlumat həssaslığı və istismar ehtimalına görə prioritetləşdirin. Avtomatik düzəlişi əvvəlcə sınaq hesabında yoxlayın; işlək mühitdə təsirini təsdiqləyin və nəticəni qeyd edin. Skan problemi aşkarlayır, lakin düzəlişin işlədiyini ayrıca yoxlamaq lazımdır.
Yerləşdirmə proseslərini və geniş istifadə olunan konfiqurasiyaları qoruyun
EC2 təhlükəsizlik qruplarında gözlənilməz ictimai portları, S3-də icazəsiz ictimai oxunuşu, IAM-də geniş Action/Resource icazələrini və instansiyanın metadata xidmətinə giriş yollarını axtarın. CI/CD proseslərində yığma üçün istifadə olunan identikliklərin səlahiyyətlərini məhdudlaşdırın, kodu və sirləri skan edin, artefaktları və buraxılış təsdiqlərini qoruyun. Tapıntıları internetə açıqlıq, məlumat həssaslığı və icazələrin əhatəsinə görə qiymətləndirin; vahid ümumi risk balı hər mühitə uyğun gəlmir.