የAWS ደህንነት የዘመናዊ የደመና ማስላት ወሳኝ አካል ነው። የ Amazon Web Services (AWS) በሚሊዮን የሚቆጠሩ መተግበሪያዎችን፣ ድረ-ገጾችን እና enterprise በዓለም ዙሪያ ያሉ ስርዓቶች፣ ይህም በፕላኔቷ ላይ ካሉት በጣም አስፈላጊ የደመና አቅራቢዎች አንዱ ያደርገዋል። የአማዞን ድር አገልግሎቶች ደህንነት መተግበሪያዎችን፣ ውሂብን እና መሠረተ ልማትን በመጠን ይጠብቃል። ሆኖም፣ የጋራ ኃላፊነት ሞዴል ማለት ደንበኞች ማመልከት አለባቸው ማለት ነው የAWS ደህንነት ምርጥ ልምዶች የተሳሳቱ ውቅሮችን፣ የተለቀቁ ምስክርነቶችን ለመከላከል፣ እና pipeline አደጋዎች
በዚህ መመሪያ ውስጥ፣ ስለ AWS በጣም የተለመዱ ጥያቄዎችን እንመልሳለን፣ መድረኩ ምን እንደሚያደርግ ጀምሮ እስከ ምን ያህል ደህንነቱ የተጠበቀ እንደሆነ እና ገንቢዎች እንዴት ማድረግ እንደሚችሉ እናሳያለን። build security guardrails ወደ CI/CD ደህንነቱ የተጠበቀ ሆኖ ለመቆየት የስራ ፍሰቶች።
📊 የAWS ደህንነት በቁጥር
እነዚህ አሃዞች የAWS ደህንነት ከመጀመሪያው ቀን ጀምሮ በእያንዳንዱ የDevSecOps የስራ ፍሰት ውስጥ ለምን መገንባት እንዳለበት ያሳያሉ፡
- In Q2 2025, AWS አንድ አካሂዷል 30% የዓለም የደመና መሠረተ ልማት የገበያ ድርሻከማይክሮሶፍት እና ከጉግል እድገት ቢኖርም የኢንዱስትሪው መሪ ሆኖ ቀጥሏል።
- በቅርብ ዓመታት ውስጥ የAWS የገበያ ድርሻ ከፍተኛ እንደሆነ ሪፖርት ተደርጓል። 32% በዓለም ዙሪያየበላይነቱን አፅንዖት በመስጠት።
- የተሳሳቱ ውቅሮች ትልቁ የደመና ደህንነት አደጋ ሆኖ ይቀጥላል፣ ኃላፊነት የሚሰማው 23% የደመና ክስተቶች አጭጮርዲንግ ቶ ሴንቴኔል አንድ ና 25% ከደመና ጋር የተያያዙ የደህንነት ክስተቶች in የIBM የ2024 ሪፖርት.
- በውስጡ የ2024 የመጀመሪያ አጋማሽ፣ የተሳሳቱ አገልግሎቶች በ ውስጥ የመጀመሪያው የመግቢያ ነጥብ ነበሩ 30% የደመና ጥቃቶች.
- የምስክር ወረቀት መሰብሰብ በብዛት የሚታየው ውጤት ነበር፣ 28% የሚሆኑ ክስተቶች, ትክክለኛ የመለያ አላግባብ መጠቀም የተለመደ የጥቃት ቬክተር በመሆኑ፣ እንደ IBM X-Force.
- AWS አሁን ያቀርባል ከ200 በላይ አገልግሎቶች, ከ EC2 ኮምፒውት ወደ የGuardDity ስጋት ማወቂያእያንዳንዱ አገልግሎት አደጋዎችን ለማስወገድ ደህንነቱ የተጠበቀ ውቅር ይፈልጋል።
ስለ Amazon Web Services ተደጋጋሚ ጥያቄዎች
የአማዞን የድር አገልግሎቶች ምንድን ናቸው?
የአማዞን ድር አገልግሎቶች (AWS) የደመና መድረክ ይህም በፍላጎትዎ ጊዜ ሊጠቀሙባቸው የሚችሏቸውን ማከማቻ፣ ኮምፒውቲንግ፣ ኔትወርክ፣ የውሂብ ጎታዎች እና የደህንነት መሳሪያዎችን ያቀርባል።
የአማዞን ድር አገልግሎቶች AWS ምንድን ነው?
የአማዞን ድር አገልግሎቶች (AWS) በመባልም የሚታወቀው የአማዞን የደመና ክፍል ሲሆን አፕሊኬሽኖችን ለመገንባትና ለማስኬድ ከ200 በላይ አገልግሎቶችን ይሰጣል።
የአማዞን የድር አገልግሎቶች ምንድን ናቸው?
የአማዞን ዌብ ሰርቪስ እንደ ሰርቨሮች፣ ማከማቻ፣ የማሽን መማሪያ እና የደህንነት መሳሪያዎች ያሉ በፍላጎት ላይ የተመሰረቱ የደመና አገልግሎቶች ሲሆኑ እንደፈለጉት መጠን ይሰፋሉ።
የአማዞን ድር አገልግሎቶች ምን ያደርጋሉ?
የአማዞን ድር አገልግሎቶች ንግዶች እና ገንቢዎች አካላዊ ሃርድዌርን ሳያስተዳድሩ መተግበሪያዎችን እንዲያስተናግዱ፣ ውሂብ እንዲያስኬዱ እና የስራ ጫናዎችን እንዲጠብቁ ያስችላቸዋል።
የአማዞን ድር አገልግሎቶች ለምን ጥቅም ላይ ይውላሉ?
ኩባንያዎች ድረ ገጾችን ለማስኬድ፣ የውሂብ ጎታዎችን ለማስተናገድ፣ ኮንቴይነሮችን ለማስተዳደር፣ የAI ሞዴሎችን ለማሰልጠን እና ሚስጥራዊ መረጃዎችን ለመጠበቅ AWS ይጠቀማሉ።
የአማዞን ድር አገልግሎቶች ምን አይነት አገልግሎቶችን ይሰጣሉ?
የአማዞን ድር አገልግሎቶች ኮምፒውት (EC2፣ Lambda)፣ ማከማቻ (S3፣ EBS)፣ የውሂብ ጎታዎች (RDS፣ DynamoDB)፣ አውታረ መረብ (VPC፣ CloudFront) እና የደህንነት መሳሪያዎችን (IAM፣ GuardDuty፣ Inspector) ያቀርባል።
የAWS ደህንነት ተደጋጋሚ ጥያቄዎች
AWS ደህንነቱ የተጠበቀ ነው?
AWS ራሱ በጣም ደህንነቱ የተጠበቀ ነው ምክንያቱም የውሂብ ማዕከሎቹ፣ ሃርድዌር እና የአውታረ መረብ መሠረተ ልማቱ ጥብቅ መስፈርቶችን ያሟላሉ ተገዢነት standards. ሆኖም ግን፣ የAWS ደህንነት የጋራ ኃላፊነት ሞዴልን ይከተላል። መድረኩ መሠረተ ልማቱን ይጠብቃል፣ ደንበኞች ደግሞ ውቅሮቻቸውን ያስጠብቃሉ። ለምሳሌ፣ ክፍት የS3 ባልዲዎች፣ የIAM ሚናዎች፣ ወይም CI/CD pipelineየተፈቱ ቁልፎች ያሉት ዎች እውነተኛ ተጋላጭነትን ይፈጥራሉ። በዚህም ምክንያት፣ ቡድኖች ዝቅተኛ መብትን ማስከበር፣ ምስጠራን ማንቃት እና አውቶማቲክ ቼኮችን ከስራ ፍሰቶች ጋር ማዋሃድ ያሉ የAWS የደህንነት ምርጥ ልምዶችን መተግበር አለባቸው።
ለምሳሌ ክፈት የS3 ባልዲዎች ጋር ተጋለጠ public-read ኤሲኤልኤሎች፣ የአይኤም ዋይልድካርድ ሚናዎች መስጠት *:* ፈቃዶች፣ ያልተጠበቁ የላምዳ ተግባራት ከ ጋር መሮጥ AdministratorAccess, ወይም የደህንነት ቡድኖች ክፍት ለ 0.0.0.0/0 አጥቂዎች በንቃት የሚቃኙባቸው የተለመዱ ስህተቶች ናቸው። በተጨማሪም፣ የፈሰሱ የAWS ቁልፎች ወይም የተሳሳተ ውቅር CI/CD pipelineኤስ አካባቢውን በሙሉ ሊያጋልጥ ይችላል።
በዚህም ምክንያት፣ ቡድኖች የAWS ደህንነት ምርጥ ልምዶችን መከተል አለባቸው። ይህ ማለት ማስፈጸም ማለት ነው። ትንሹ - ልዩ መብት ነኝ, በማንቃት ላይ በነባሪነት ምስጠራ, እና ማዋሃድ ራስ-ሰር ቼኮች መግባት CI/CD የስራ ፍሰቶች. እነዚህ እርምጃዎች በተከታታይ ሲተገበሩ፣ የAWS ደህንነትን በእጅ የሚደረግ የማረጋገጫ ዝርዝር ከማድረግ ይልቅ ወደ ቀጣይ ጥበቃ ይለውጣሉ።
የአማዞን ድር አገልግሎቶች በእርግጥ ምን ያህል ደህንነቱ የተጠበቀ ነው?
የአማዞን ድር አገልግሎቶች ደህንነት የተገነባው እንደ ጠንካራ የመጀመሪያ ደረጃ ላይ ነው የመዳረሻ መቆጣጠሪያ IAM, ለምስጠራ KMS, እና ያልተለመደ ነገር ለይቶ ማወቅን የሚመለከት ጥበቃእነዚህ መሳሪያዎች AWSን ከሚገኙት በጣም ደህንነታቸው የተጠበቀ የደመና አቅራቢዎች አንዱ ያደርጉታል።
ያም ሆኖ፣ እነዚህ ጥበቃዎች ውጤታማ የሚሆኑት በዕለት ተዕለት የሥራ ፍሰቶች ውስጥ ጥቅም ላይ ሲውሉ ብቻ ነው። ብዙ ጥሰቶች አሁንም ይከሰታሉ ምክንያቱም የደህንነት ቡድኖች ያለገደብ ይፍቀዱ 0.0.0.0/0 ወደ ውስጥ መግባት፣ የክላውድትራይል ምዝግብ ማስታወሻ በሁሉም ክልሎች አልነቃም፣ ወይም የኢቢኤስ መጠኖች ያለ ምስጠራ ተጀምረዋል።
ስለዚህ፣ መድረኩ ራሱ ደህንነቱ የተጠበቀ ነው፣ ግን የተሳሳተ ውቅር እና ቸልተኝነት ተጋላጭነቶችን ይፈጥራል። እነዚህን አደጋዎች ለመቀነስ ቡድኖች ማስፈጸም አለባቸው የAWS ደህንነት ምርጥ ልምዶች በፖሊሲ-እንደ-ኮድ፣ በራስ-ሰር IaC ቅኝቶች እና የግዴታ መዝገብ። ከዚህም በላይ እነዚህን መከላከያዎች ወደ ውስጥ ማስገባት pipelineየአማዞን ዌብ ሰርቪስ ደህንነት በመጠኑ አስተማማኝ መሆኑን ያረጋግጣል።
AWS በነባሪነት ደህንነቱ የተጠበቀ ነው?
AWS ምስጠራን፣ የተገዢነት ማረጋገጫዎችን እና በዓለም አቀፍ ደረጃ ጠንካራ የሆነ መሠረተ ልማትን በመጠቀም ጠንካራ መሠረት ይሰጣል። ሆኖም ግን፣ ነባሪዎች እያንዳንዱን አደጋ አያስቆሙም። ደህንነት የሚወሰነው ቡድኖች እያንዳንዱን አገልግሎት እንዴት እንደሚያዋቅሩ ነው።
ለምሳሌ፣ አንድ ቡድን አዲስ የS3 ባልዲ በነጠላ ነጠላ ዜማ ሊያጋልጥ ይችላል public-read ACL። አንድ ገንቢ የላምዳ ተግባርን በ ሊጀምር ይችላል AdministratorAccess ፈቃዶች፣ ይህም ወዲያውኑ የመብት ማስፋፊያ መንገድ ይፈጥራል። ጠንካራነትን የሚዘሉ ቡድኖች ብዙውን ጊዜ የEBS ቅጽበታዊ ገጽ እይታዎችን ወይም የRDS ምትኬዎችን በተጋሩ ግዛቶች ውስጥ ይተዋሉ እና ማንኛውም ሰው ሊጠቀምበት ይችላል።
ጠንካራ የአማዞን ድር አገልግሎቶች ደህንነት ከምርጥ ልምዶች ወጥነት ባለው አተገባበር የመጣ ነው። ገንቢዎች ጠንካራ መሠረተ ልማትን እንደ የኮድ አብነቶች መጻፍ አለባቸው፣ ይቃኙ IaC ያለማቋረጥ እና ተግባራዊ ማድረግ፣ guardrails in CI/CD pipelines.
ቡድኖች ይህንን አካሄድ ሲከተሉ፣ ከመልቀቃቸው በፊት አደገኛ ተጋላጭነቶችን ይከላከላሉ። አውቶሜሽን እነዚህን ጥበቃዎች በእያንዳንዱ አካባቢ ያስፈጽማል እና በእጅ ግምገማዎች ላይ የመተማመንን አስፈላጊነት ያስወግዳል።
ኮር AWS የደህንነት አገልግሎቶች
በ AWS ውስጥ የደህንነት ቡድን ምንድን ነው?
A የደህንነት ቡድን በAWS እንደ ምናባዊ ፋየርዎል ይሰራል። እንደ EC2 አብነቶች፣ RDS የውሂብ ጎታዎች እና የLambda ተግባራት ላሉ ግብዓቶች ወደ ውስጥ እና ወደ ውጭ የሚወጣ ትራፊክን ያጣራል። በነባሪነት የደህንነት ቡድን ሁሉንም ወደ ውስጥ የሚገቡ ግንኙነቶችን ያግዳል እና ወደ ውጭ የሚወጡ ትራፊክን ይፈቅዳል። ሆኖም ግን፣ ገንቢዎች ደንቦቹን በግልጽ ማዋቀር አለባቸው።
ለምሳሌ፣ ወደብ 22ን ከ መክፈት ጋር 0.0.0.0/0 ኤስኤስኤችን ከየትኛውም ቦታ በኢንተርኔት ላይ ይፈቅዳል። በዚህም ምክንያት፣ አጥቂዎች በጥቂት ደቂቃዎች ውስጥ ማስረጃዎችን በኃይል ማስገደድ ይችላሉ። በተጨማሪም፣ ከመጠን በላይ ሰፊ ህጎች ብዙውን ጊዜ ከአሮጌ ማከማቻዎች በተገለበጡ የTerraform ወይም CloudFormation አብነቶች ውስጥ ይታያሉ።
ስለዚህ፣ ገንቢዎች ዝቅተኛውን መብት ማግኘትን ማስገደድ አለባቸው። ያልተገደበ የገቢ ደንቦችን ከመስጠት ይልቅ የተወሰኑ የአይፒ ክልሎችን፣ ወደቦችን እና ፕሮቶኮሎችን ይግለጹ። ከዚህም በላይ፣ መሠረተ ልማትን እንደ ኮድ መቃኘት CI/CD pipelineደህንነቱ ያልተጠበቀ የደህንነት ቡድን ደንቦች ወደ ምርት እንደማይደርሱ ያረጋግጣል።
የAWS የደህንነት ማዕከል ምንድን ነው?
የAWS የደህንነት ማዕከል እንደ GuardDuty፣ Inspector እና IAM Access Analyzer ካሉ በርካታ የAWS አገልግሎቶች የተገኙ ግኝቶችን ያጣምራል። አንድ ነጠላ አገልግሎት ይሰጣል። dashboard በAWS መለያዎችዎ ላይ የተሳሳቱ ውቅሮች፣ የተገዢነት ክፍተቶች እና የደህንነት ማንቂያዎችን ያሳያል።
ለምሳሌ፣ የAWS የደህንነት ማዕከል ክፍት የS3 ባልዲዎችን፣ የIAM ዋይልድ ካርድ ፖሊሲዎችን ወይም የተሰናከሉ የCloudTrail ምዝግብ ማስታወሻዎችን ያደምቃል። በዚህም ምክንያት ቡድኖች ብዙውን ጊዜ በትላልቅ አካባቢዎች የሚደበቁ አደጋዎችን ታይነት ያገኛሉ።
በተጨማሪም፣ የAWS የደህንነት ማዕከል ከብጁ ስካነሮች እና ከሶስተኛ ወገን መሳሪያዎች ጋር ይዋሃዳል። ገንቢዎች ግኝቶችን በቀጥታ ወደ ማዕከል መላክ፣ ከGuardDuty ማንቂያዎች ጋር ማዛመድ እና በEventBridge በኩል በራስ-ሰር ምላሾችን ማስጀመር ይችላሉ።
ስለዚህ፣ የAWS የደህንነት ማዕከል የክትትል አገልግሎቶችን አይተካም። በምትኩ፣ ገንቢዎች እና የደህንነት ቡድኖች አውድ ሳይቀይሩ በፍጥነት እርምጃ እንዲወስዱ ውጤቶችን ማዕከላዊ ያደርጋል።
የAWS የደህንነት ማዕከልን እንዴት መጠቀም እንደሚቻል?
ለመጠቀም የAWS የደህንነት ማዕከልበመጀመሪያ የስራ ጫናዎችን በሚያስኬዱባቸው በእያንዳንዱ የAWS ክልል ውስጥ ማንቃት አለብዎት። አንዴ ከነቃ በኋላ የደህንነት ማዕከል እንደ ኢንስፔክተር፣ GuardDuty እና Config ካሉ የሚደገፉ አገልግሎቶች የተገኙ ግኝቶችን መሰብሰብ ይጀምራል።
ለምሳሌ፣ የAWS የደህንነት ማዕከልን ካነቁ በኋላ፣ ጊዜ ያለፈባቸው AMIዎች፣ የIAM ሚናዎች ወይም ያልተመሰጠሩ የRDS የውሂብ ጎታዎች ያላቸው የEC2 አብነቶችን በራስ-ሰር ማግኘት ይችላሉ። በዚህም ምክንያት፣ አጥቂዎች ምርት ላይ ከመድረሳቸው ከረጅም ጊዜ በፊት ሊጠቀሙባቸው የሚችሏቸውን ችግሮች ያያሉ።
በተጨማሪም፣ ገንቢዎች መገናኘት ይችላሉ CI/CD pipelineየተሳሳቱ ውቅሮችን ወደ Security Hub ለመላክ። ለምሳሌ፣ የTerraform አብነት ይፋዊ የS3 ባልዲ ሲገልጽ፣ ግኝቱ በSecurity Hub ውስጥ ይታያል dashboardስለዚህ፣ ቡድኖች የደህንነት ማዕከልን እንደ የተገዢነት ማረጋገጫ እና እንደ እውነተኛ ጊዜ የማንቂያ ስርዓት መጠቀም ይችላሉ።
ከዚህም በላይ የAWS የደህንነት ማዕከል አውቶሜሽንን ይደግፋል። በEventBridge፣ አደገኛ ለውጦችን ወዲያውኑ የሚያስተካክሉ የLambda ተግባራትን ማስጀመር ይችላሉ። ማንቂያዎችን ብቻ ከማሳየት ይልቅ፣ የAWS የደህንነት ማዕከል በደመና ደህንነት የስራ ፍሰትዎ ውስጥ ንቁ የጥበቃ መንገድ ይሆናል።
የAWS የደህንነት ማስመሰያ አገልግሎት (STS) ምንድን ነው?
የAWS የደህንነት ማስመሰያ አገልግሎት (STS) አፕሊኬሽኖች እና አገልግሎቶች የAWS ሀብቶችን ለመድረስ ሊጠቀሙባቸው የሚችሏቸው ጊዜያዊ፣ የተወሰነ መብት ያላቸው የምስክር ወረቀቶችን ይሰጣል። ከረጅም ጊዜ የመዳረሻ ቁልፎች በተለየ፣ የSTS ቶከኖች ከአጭር ጊዜ በኋላ በራስ-ሰር ይቆያሉ።
ለምሳሌ, ሀ CI/CD pipeline መሠረተ ልማትን ሲያሰማራ፣ ለዚያ ሥራ የሚያስፈልጉትን ፈቃዶች ብቻ የያዘ የSTS ቶከን መጠየቅ ይችላል። በዚህም ምክንያት፣ ቶከኑ ጊዜው ስለሚያበቃ አጥቂዎች በኋላ ላይ ማስረጃዎችን እንደገና መጠቀም አይችሉም።
በተጨማሪም፣ የAWS የደህንነት ማስመሰያ አገልግሎት ከIAM ሚናዎች ጋር ይዋሃዳል። ገንቢዎች በኮድ ወይም በማዋቀሪያ ፋይሎች ውስጥ ቋሚ ቁልፎችን ሳያስቀምጡ በተለያዩ መለያዎች ውስጥ ሚናዎችን መውሰድ ይችላሉ። ስለዚህ፣ STS በGit ታሪክ ወይም በDocker ምስሎች ውስጥ የምስክርነት መፍሰስ አደጋን ይቀንሳል።
በተጨማሪም፣ STS ያስፈጽማል በዲዛይን ዝቅተኛው መብትየማይንቀሳቀሱ የአስተዳደር ምስክርነቶችን ከማጋለጥ ይልቅ፣ ለተወሰኑ እርምጃዎች የተነደፉ ቶከኖችን ያመነጫሉ። በተግባር፣ ይህ የፍንዳታ ራዲየስን ይገድባል pipeline ወይም መያዣው አደጋ ላይ ይወድቃል።
የAWS ደህንነት ምርጥ ልምዶች
ቡድኖች ወጥ የሆነ፣ በራስ-ሰር የሚሰራ የAWS ደህንነት ምርጥ ልምዶችን ሲከተሉ የአማዞን ድር አገልግሎቶች ደህንነት በጣም ጠንካራ ነው። እያንዳንዱ ልምምድ በደመና አካባቢዎች ውስጥ የተለመደ የውድቀት ነጥብን ይመለከታል። ለምሳሌ፣ ዝቅተኛውን IAM ማስፈጸም፣ ውሂብን በነባሪነት መመስጠር እና እንደ ኮድ መሠረተ ልማትን መቃኘት ከማሰማራቱ በፊት የተሳሳቱ ውቅሮችን ለማስቆም ይረዳል። በእጅ የሚደረግ የማረጋገጫ ዝርዝር እና በእውነተኛ ጥበቃ መካከል ያለው እውነተኛ ልዩነት የሚመጣው በስራ ፍሰት ውስጥ ከሚሰራው አውቶሜሽን ሲሆን እነዚህ የAWS ደህንነት ምርጥ ልምዶች ሁልጊዜ ተግባራዊ መሆናቸው ያረጋግጣል።
1. የማንነት እና የመዳረሻ አስተዳደር (አይኤኤም)
ከመጠን በላይ ሰፊ ፈቃዶች አጥቂዎች የAWS መለያዎችን ቁጥጥር የሚያገኙባቸው ፈጣኖች መንገዶች አንዱ ናቸው። በስር አካውንቱ ላይ ከመመካት ወይም የአስተዳደር ደረጃ ሚናዎችን ከመስጠት ይልቅ፣ ዝቅተኛውን መብት ያስፈጽሙ። ጥቃቅን የIAM ፖሊሲዎችን ይፍጠሩ፣ የመዳረሻ ቁልፎችን በየጊዜው ያሽከርክሩ እና በሁሉም ቦታ MFA ን ይጠይቁ።
በተግባር፣ የIAM ስህተቶች ብዙውን ጊዜ በTerraform ወይም CloudFormation ውስጥ ይታያሉ። በራስ-ሰር መቃኘት በ CI/CD ከማሰማራቱ በፊት አደገኛ ሚናዎችን መያዝ እና ማገድ ይችላል።
2. የውሂብ ጥበቃ እና ምስጠራ
ቡድኖች በእረፍት ጊዜም ሆነ በመጓጓዣ ጊዜ ሚስጥራዊ መረጃዎችን መመስጠር አለባቸው። እንደ KMS ወይም CloudHSM ያሉ የAWS አገልግሎቶች ጠንካራ ምስጠራ ይሰጣሉ፣ ነገር ግን ገንቢዎች ብዙውን ጊዜ እነዚህን ቅንብሮች ማንቃት ይረሳሉ። ይህ በሚሆንበት ጊዜ አጥቂዎች የS3 ነገሮችን ማንበብ፣ ያልተጠበቁ የEBS ክፍሎችን መቅረጽ ወይም ያልተመሰጠሩ የRDS ትራፊክን ማቋረጥ ይችላሉ።
እነዚህን ስህተቶች በመሮጥ መከላከል ይችላሉ pipeline ቼኮች CI/CD ቅኝቶች እያንዳንዱ የS3 ባልዲ፣ የRDS ምሳሌ እና የEBS መጠን ከማሰማራቱ በፊት የኢንክሪፕሽን ቅንብሮችን እንደሚያካትቱ ያረጋግጣሉ። በዚህ መንገድ፣ ገንቢዎች እንዲያስታውሱት ከመተማመን ይልቅ በነባሪነት ምስጠራን ያስገድዳሉ።
3. ደህንነቱ የተጠበቀ መሠረተ ልማት እንደ ኮድ (IaC)
ቡድኖች ብዙውን ጊዜ የAWS ግብዓቶችን በTerraform ወይም CloudFormation በኩል ያቀርባሉ። ሆኖም ግን፣ የተገለበጡ አብነቶች ብዙውን ጊዜ እንደ ይፋዊ የS3 ባልዲዎች ወይም ለደህንነት ቡድኖች ክፍት የሆኑ አደገኛ ነባሪዎችን ያስተዋውቃሉ። 0.0.0.0/0ገንቢዎች እነዚህን አብነቶች የስራ ጫናዎችን ለኢንተርኔት እንደሚያጋልጡ ሳያውቁ ሊልኩ ይችላሉ።
እነዚህን አደጋዎች በመቃኘት ማስቆም ይችላሉ IaC ከመዋሃድ በፊት pull requests. አውቶማቲክ ቼኮች ተፈጻሚ ይሆናሉ የአማዞን ድር አገልግሎቶች የደህንነት ምርጥ ልምዶች በቀጥታ በኮድ። ደህንነታቸው ያልተጠበቁ ነባሪዎች በእጅ የሚደረግ ግምገማን እንዲያልፉ ከመፍቀድ ይልቅ፣ pipelines ለውጡን አግዶ ገንቢዎች ወዲያውኑ እንዲያስተካክሉት ይገፋፋቸዋል።
4. የሥራ ጫና ጥበቃ (ኮንቴይነሮች እና ኮድ)
በAWS ውስጥ ያሉ አፕሊኬሽኖች ብዙውን ጊዜ በኮንቴይነር ምስሎች እና በክፍት ምንጭ ፓኬጆች ላይ የተመሰረቱ ናቸው። ሁለቱም ተደጋጋሚ የጥቃት ቬክተሮች ናቸው። እንደ SQL ኢንጀክሽን ወይም ጠንካራ ኮድ የተደረገባቸው የAWS ቁልፎች ያሉ ደህንነቱ ያልተጠበቀ ኮድ የስራ ጫናዎችን አደጋ ላይ ሊጥሉ ይችላሉ።
የ ECR ምስሎችን በራስ-ሰር መቃኘት እና የአፕሊኬሽን ኮድ CVEዎችን፣ ማልዌርን እና ሌሎችንም ለመለየት ይረዳል ምስጢሮች በልማት ዑደት መጀመሪያ ላይ።
5. ክትትል፣ ምዝግብ ማስታወሻ እና ራስ-ሰር ምላሽ
AWS GuardDuty፣ Inspector እና CloudTrail ያቀርባል። ሆኖም ግን፣ ማንቂያዎች ሲተገበሩ ብቻ ደህንነትን ያሻሽላሉ። በጣም ብዙ ጊዜ፣ በሚለቀቅ ግፊት ወቅት ግኝቶች ይጎድላሉ።
Guardrails in CI/CD pipelineዎች አጠራጣሪ ውቅሮች ወይም ተጋላጭ አካላት አውቶማቲክ ጥገናዎችን ወይም የተተገበሩ ፖሊሲዎችን እንዲያስነሱ ያስችላቸዋል። በእጅ ግምገማዎች ላይ ከመተማመን ይልቅ፣ ችግሮች እንደ የስራ ፍሰት አካል በተከታታይ ይስተካከላሉ።
| ልምምድ | ለምን አስፈላጊ ነው | በውስጡ እንዴት መያዝ እንደሚቻል CI/CD | ተከናውኗል |
|---|---|---|---|
| IAM ዝቅተኛ መብት፣ የቁልፍ ሽክርክሪት፣ MFA | አጥቂዎች ደካማ ወይም ጥቅም ላይ ያልዋሉ የምስክር ወረቀቶችን አላግባብ እንዳይጠቀሙ ያቆማል | የTerraform/CloudFormation መመሪያዎችን ይቃኙ እና በጣም ፍቃደኛ የሆኑ ሚናዎችን ያግዱ | ⬜ |
| ለዕለታዊ አጠቃቀም የ root መለያን ያሰናክሉ | በጣም አደገኛ የሆነውን የውድቀት ነጥብ ያስወግዳል | ተቆጣጠረ pipelineእና የስር ወይም የአስተዳደር ሚናዎችን አጠቃቀም ይጠቁሙ | ⬜ |
| ሁሉንም ውሂብ በKMS ወይም CloudHSM ያመስጥሩ | በእረፍት ጊዜ እና በመጓጓዣ ጊዜ ሚስጥራዊ መረጃዎችን ደህንነቱ የተጠበቀ ያደርገዋል | ከማሰማራትዎ በፊት የS3፣ RDS እና EBS ውቅሮችን ለጎደለው ኢንክሪፕሽን ያረጋግጡ | ⬜ |
| ቅኝት IaC አብነቶችን | እንደ ክፍት የS3 ባልዲዎች ወይም ሰፊ ክፍት የደህንነት ቡድኖች ያሉ አደገኛ ነባሪዎችን ይከላከላል | PRዎችን ከማዋሃድዎ በፊት በTerraform/CloudFormation ላይ ቅኝቶችን ያሂዱ | ⬜ |
| የመያዣ ምስሎችን ይቃኙ | በ EKS ወይም ECS ውስጥ የተበላሹ የስራ ጫናዎችን ያስወግዳል | የECR ምስሎችን በሲቪኢዎች፣ በምስጢሮች እና በማልዌር ወቅት ለማየት ይፈትሹ CI/CD ይገነባል | ⬜ |
| GuardDuty፣ Inspector እና CloudTrail ን ያንቁ | ያልተለመዱ ነገሮችን ለይቶ ማወቅ እና የኦዲት መንገዶችን ያቀርባል | ክትትል እና ምዝግብ ማስታወሻ በእያንዳንዱ የAWS መለያ እና ክልል ውስጥ ንቁ መሆናቸውን ያረጋግጡ | ⬜ |
| በራስ-ሰር ማስተካከያ በ pipelines | አደገኛ የሆኑ ለውጦችን ወደ ምርት እንዳይደርሱ ይከላከላል | ወሳኝ ችግሮች ሲገኙ ራስ-ሰር ጥገናን ይጠቀሙ ወይም ግንባታዎችን በራስ-ሰር ይሰብሩ | ⬜ |
Xygeni ቡድኖች የAWS ደህንነት ምርጥ ልምዶችን እንዲተገብሩ እንዴት እንደሚረዳቸው
የአማዞን ድር አገልግሎቶች ደህንነት የሚሰራው ቡድኖች በትክክል ሲያዋቅሩት እና በእነሱ ውስጥ ያሉትን ጥበቃዎች ሲያስፈጽሙ ብቻ ነው pipelineዎች. በእጅ የሚሰጡ ግምገማዎች በቂ አይደሉም። እዚህ ላይ ነው ዚጌኒ የሚስማማው፦ የአፈፃፀም ሂደቱን በራስ-ሰር ያከናውናል የAWS ደህንነት ምርጥ ልምዶች በቀጥታ በገንቢ የስራ ፍሰቶች ውስጥ።
- የIAM አደጋዎችን ቀደም ብለው ያግኙ
Xygeni የ Terraform እና CloudFormation አብነቶችን ለዋይልድካርድ ሚናዎች፣ ከመጠን በላይ ሰፊ ፖሊሲዎችን ወይም የስር አጠቃቀምን ይቃኛል። አደገኛ ውቅሮችን ወደ ምርት ከመድረሳቸው በፊት ያግዳል። - ምስጠራን በሁሉም ቦታ ያስፈጽሙ
Pipeline የS3 ባልዲዎች፣ የRDS የውሂብ ጎታዎች እና የEBS መጠኖች ያለ ምስጠራ እንደማይጀምሩ ያረጋግጣል። ገንቢዎች ግልጽ ማንቂያዎችን በእነሱ ውስጥ ያያሉ pull requests. - ደህንነቱ የተጠበቀ መሠረተ ልማት እንደ ኮድ
የXygeni ግምገማዎች IaC እንደ ይፋዊ የS3 ባልዲዎች ወይም 0.0.0.0/0 የደህንነት ቡድኖች ላሉ ደህንነታቸው ያልተጠበቁ ነባሪዎች። ደህንነታቸው ያልተጠበቁ ለውጦች የሚቆሙት በ commit ወደ ምርት ከመንሸራተት ይልቅ ጊዜ። - የሥራ ጫናዎችን ይጠብቁ
መድረኩ ለCVEዎች፣ ለተንኮል አዘል ዌር እና ለምስጢሮች የECR ምስሎችን እና ክፍት ምንጭ ጥገኝነቶችን ይቃኛል። እንዲሁም ተፈጻሚ ይሆናል። SAST ከመልቀቁ ከረጅም ጊዜ በፊት ተጋላጭነቶችን በመያዝ ወደ መተግበሪያ ኮድ። - ራስ-ሰር ማስተካከያ
በራስ-ሰር ማስተካከያ፣ Xygeni ችግሮችን ብቻ አያሳይም። ገንቢዎች ችግሮችን በአነስተኛ ግጭት እንዲፈቱ ደህንነታቸው የተጠበቀ ጥገናዎችን ወይም የህዝብ ግንኙነት አገልግሎቶችን ይፈጥራል። - Guardrails in CI/CD
Guardrails እንደ “ያልተመሰጠሩ የS3 ባልዲዎች የሉም” ወይም “ምንም ልዩ መብት የሌላቸው ኮንቴይነሮች የሉም” ያሉ ፖሊሲዎችን እንዲያዘጋጁ ያስችልዎታል። ጥሰት ከተከሰተ ግንባታው በራስ-ሰር ይሰበራል።
በዚህም ምክንያት፣ ቡድኖች የአማዞን ድር አገልግሎቶች የደህንነት ምርጥ ልምዶችን በነባሪነት ይተገብራሉ፣ እንደ አንድ ሀሳብ አይደለም። በእጅ ግምገማዎች ወይም ከሞቱ በኋላ ባለው ምርመራ ላይ ከመመካት ይልቅ፣ Xygeni እያንዳንዱን ያረጋግጣል። commitአብነት፣ የስራ ጫና እና የስራ ጫና ከAWS የደህንነት መቆጣጠሪያዎች ጋር ይጣጣማሉ።
