Главная мысль
Сначала определите ресурсы и их владельцев, затем проверяйте IAM, сеть, хранилища и процесс изменений с учётом риска.
Обзор и контроль аккаунтов
Сведите в единый перечень production-, тестовые и вспомогательные аккаунты AWS, регионы, типы ресурсов и ответственных владельцев. Определите порядок создания аккаунтов и ресурсов, регулярно проверяйте неиспользуемые аккаунты и забытые ресурсы. Централизуйте события CloudTrail и назначьте владельца для каждого риска. Запись AWS Config и оценка правил не блокируют заранее все ошибки. События данных CloudTrail, например операции с объектами S3, нужно выбирать отдельно.
| Контроль | На какой вопрос отвечает | Что проверить в охвате |
|---|---|---|
| AWS Config | Конфигурация ресурсов и оценка правил | Поддерживаемые типы ресурсов, recorder, аккаунты и регионы |
| CloudTrail | Действия API и аккаунта | Выбранные типы событий, trail или event data store, хранение, аккаунты и регионы |
| IAM и сетевые меры | Кто может действовать и какой трафик разрешён | Действующие политики, роли и явные сетевые правила |
Ограничьте IAM и сетевые правила
Для людей используйте федеративный вход и требуемую MFA, для рабочих нагрузок — подходящие роли и краткосрочные учётные данные. Избегайте долгоживущих ключей; проверяйте владельца, использование и необходимость ротации существующих ключей. Ограничивайте политики действиями и ресурсами, нужными для конкретной задачи. Закройте доступ из интернета к административным портам в группах безопасности и сетевых ACL; оформляйте необходимые исключения с ограничением по источнику и сроку.
Оцените раскрытие данных и шифрование
Для S3 сначала проверьте Object Ownership: в новых bucket ACL по умолчанию отключены, поэтому проверяйте их только там, где они включены. Проверьте Public Access Block и политики bucket; публичное чтение не означает разрешение загрузки или записи. Оставляйте публичный доступ только для утверждённой деловой цели под контролем владельца данных. Новые загрузки объектов S3 получают серверное шифрование по умолчанию; всё равно проверяйте требуемое шифрование и политики ключей, старые данные, доступ и защиту передачи. Разделяйте ключевые полномочия и согласуйте ротацию с требованиями сервиса. Применяйте те же правила доступа и хранения к снимкам, журналам и резервным копиям.
Проверяйте изменения и исправления
Добавьте проверки безопасности инфраструктурного кода, сохраняйте ревью и согласование изменений и сравнивайте конфигурацию с утверждённой базой, где это возможно. Расставляйте приоритет по серьёзности, доступности из интернета, чувствительности данных и вероятности эксплуатации. Сначала проверяйте автоматическое исправление в тестовом аккаунте; в production подтверждайте его влияние и фиксируйте результат. Сканирование обнаруживает проблему, но работу исправления нужно проверить отдельно.
Защитите конвейер поставки и типичные настройки
Ищите неожиданные публичные порты в security group EC2, несанкционированное публичное чтение S3, широкие разрешения Action/Resource в IAM и доступ к сервису метаданных. Ограничьте права учётных записей сборки CI/CD, добавьте сканирование кода и секретов, защитите артефакты и согласование выпуска. Оценивайте риск выявленной ошибки конфигурации по доступности из интернета, чувствительности данных и масштабу разрешений; единая оценка не подходит всем средам.