უსაფრთხოება თანამედროვე ღრუბლოვანი ტექნოლოგიების კრიტიკული ნაწილია. Amazon ვებ სერვისები (AWS) მილიონობით აპლიკაციას, ვებსაიტს და enterprise სისტემები მთელ მსოფლიოში, რაც მას პლანეტის ერთ-ერთ უმნიშვნელოვანეს ღრუბლოვან პროვაიდერად აქცევს. ძლიერი Amazon Web Services-ის უსაფრთხოება იცავს აპლიკაციებს, მონაცემებსა და ინფრასტრუქტურას მასშტაბურად. თუმცა, გაზიარებული პასუხისმგებლობის მოდელი ნიშნავს, რომ მომხმარებლებმა უნდა გამოიყენონ AWS უსაფრთხოების საუკეთესო პრაქტიკა არასწორი კონფიგურაციების, ავტორიზაციის მონაცემების გაჟონვისა და pipeline რისკები.
ამ სახელმძღვანელოში ჩვენ ვუპასუხებთ AWS-ის შესახებ ყველაზე ხშირად დასმულ კითხვებს, პლატფორმის მუშაობის გზიდან დაწყებული მისი უსაფრთხოების კუთხით დამთავრებული და ვაჩვენებთ, თუ როგორ შეუძლიათ დეველოპერებს... build security guardrails მათ CI/CD სამუშაო პროცესები უსაფრთხოების შესანარჩუნებლად.
📊 AWS უსაფრთხოება ციფრებში
ეს ციფრები აჩვენებს, თუ რატომ უნდა იყოს AWS-ის უსაფრთხოება ინტეგრირებული DevSecOps-ის ყველა სამუშაო პროცესში პირველივე დღიდან:
- In Q2 2025, AWS-მა გამართა გლობალური ღრუბლოვანი ინფრასტრუქტურის ბაზრის 30%-იანი წილი, რომელიც ინდუსტრიის ლიდერად რჩება Microsoft-ისა და Google-ის ზრდის მიუხედავად.
- ბოლო წლებში AWS-ის ბაზრის წილი იმდენად მაღალი იყო, რომ... 32% მსოფლიო მასშტაბით, რაც მის დომინირებას უსვამს ხაზს.
- არასწორი კონფიგურაციები ღრუბლოვანი უსაფრთხოების ყველაზე დიდ რისკად რჩება, რომელიც პასუხისმგებელია ღრუბლოვანი ინციდენტების 23% მიხედვით SentinelOne მდე ღრუბელთან დაკავშირებული უსაფრთხოების მოვლენების 25% in IBM-ის 2024 წლის ანგარიში.
- ამ პირველ ნახევარში 2024, არასწორად კონფიგურირებული სერვისები იყო საწყისი შესვლის წერტილი ღრუბლოვანი შეტევების 30%.
- ავტორიზაციის შეგროვება ყველაზე ხშირი შედეგი იყო, რომელიც ჩნდებოდა ინციდენტების 28%, სადაც ვალიდური ანგარიშის ბოროტად გამოყენება შეტევის გავრცელებული ვექტორია, შესაბამისად IBM X-Force.
- AWS ახლა გთავაზობთ 200+ სერვისი, მდებარეობა EC2 გამოთვლა to GuardDuty-ის საფრთხის აღმოჩენარისკების თავიდან ასაცილებლად თითოეულ სერვისს უსაფრთხო კონფიგურაცია სჭირდება.
ხშირად დასმული კითხვები Amazon Web Services-ის შესახებ
რა არის Amazon Web Services?
Amazon Web Services (AWS) არის ღრუბლის პლატფორმა რომელიც უზრუნველყოფს შენახვის, გამოთვლითი სისტემების, ქსელური კავშირების, მონაცემთა ბაზებისა და უსაფრთხოების ინსტრუმენტებს, რომელთა გამოყენებაც მოთხოვნისამებრ შეგიძლიათ.
რა არის Amazon Web Services AWS?
Amazon Web Services, ასევე ცნობილი როგორც AWS, Amazon-ის ღრუბლოვანი განყოფილებაა, რომელიც აპლიკაციების შექმნისა და გაშვებისთვის 200-ზე მეტ სერვისს სთავაზობს მომხმარებლებს.
რა არის Amazon-ის ვებ სერვისები?
Amazon-ის ვებ სერვისები არის მოთხოვნისამებრ ხელმისაწვდომი ღრუბლოვანი სერვისები, როგორიცაა სერვერები, საცავი, მანქანური სწავლება და უსაფრთხოების ინსტრუმენტები, რომლებიც მასშტაბირდება თქვენი საჭიროებისამებრ.
რას აკეთებს Amazon Web Services?
Amazon Web Services საშუალებას აძლევს ბიზნესებს და დეველოპერებს, განათავსონ აპლიკაციები, დაამუშაონ მონაცემები და დაიცვან სამუშაო დატვირთვები ფიზიკური აპარატურის მართვის გარეშე.
რისთვის გამოიყენება Amazon Web Services?
კომპანიები AWS-ს იყენებენ ვებსაიტების გასაშვებად, მონაცემთა ბაზების განსათავსებლად, კონტეინერების სამართავად, ხელოვნური ინტელექტის მოდელების სწავლებისა და მგრძნობიარე მონაცემების დასაცავად.
რა სერვისებს სთავაზობს Amazon Web Services?
Amazon Web Services უზრუნველყოფს გამოთვლით (EC2, Lambda), შენახვის სისტემებს (S3, EBS), მონაცემთა ბაზებს (RDS, DynamoDB), ქსელურ სისტემებს (VPC, CloudFront) და უსაფრთხოების ინსტრუმენტებს (IAM, GuardDuty, Inspector).
AWS უსაფრთხოების ხშირად დასმული კითხვები
უსაფრთხოა AWS?
AWS თავისთავად ძალიან უსაფრთხოა, რადგან მისი მონაცემთა ცენტრები, აპარატურა და ქსელური ინფრასტრუქტურა მკაცრ მოთხოვნებს აკმაყოფილებს. შესაბამისად standards. თუმცა, AWS-ის უსაფრთხოება მიჰყვება საერთო პასუხისმგებლობის მოდელს. პლატფორმა იცავს ინფრასტრუქტურას, ხოლო მომხმარებლები საკუთარ კონფიგურაციებს. მაგალითად, ღია S3 ბაკეტები, wildcard IAM როლები ან CI/CD pipelineგაჟონილი გასაღებების მქონე სქემები რეალურ დაუცველობას ქმნის. შედეგად, გუნდებმა უნდა გამოიყენონ AWS უსაფრთხოების საუკეთესო პრაქტიკა, როგორიცაა მინიმალური პრივილეგიების აღსრულება, დაშიფვრის ჩართვა და ავტომატიზირებული შემოწმებების ინტეგრირება სამუშაო პროცესებში.
მაგალითად, გახსენით S3 ვედროები გამოვლენილია public-read წინა ჯვარედინი ლიგატები, ველური ბარათის IAM როლები საკონსულტაციო *:* ნებართვები, დაუცველი ლამბდა ფუნქციები სირბილი AdministratorAccess, ან უსაფრთხოების ჯგუფები ღიაა 0.0.0.0/0 გავრცელებული შეცდომებია, რომლებსაც თავდამსხმელები აქტიურად სკანირებენ. გარდა ამისა, გაჟონილი AWS გასაღებები ან არასწორად კონფიგურირებული CI/CD pipelines-ს შეუძლია მთელი გარემოს გამოვლენა.
შედეგად, გუნდებმა უნდა დანერგონ AWS-ის უსაფრთხოების საუკეთესო პრაქტიკა. ეს ნიშნავს აღსრულებას ყველაზე ნაკლებად პრივილეგირებული IAM, საშუალებას დაშიფვრა ნაგულისხმევადდა ინტეგრირება ავტომატური შემოწმებები CI/CD სამუშაოებითანმიმდევრულად გამოყენების შემთხვევაში, ეს ზომები AWS-ის უსაფრთხოებას ხელით შედგენილი საკონტროლო სიის ნაცვლად უწყვეტ დაცვად აქცევს.
რამდენად უსაფრთხოა სინამდვილეში Amazon Web Services?
Amazon Web Services-ის უსაფრთხოება აგებულია ძლიერ პრიმიტივებზე, როგორიცაა IAM წვდომის კონტროლისთვის, KMS დაშიფვრისთვისდა GuardDuty ანომალიების აღმოსაჩენადეს ხელსაწყოები AWS-ს ერთ-ერთ ყველაზე უსაფრთხო ღრუბლოვან პროვაიდერად აქცევს.
მიუხედავად ამისა, ეს დაცვა მხოლოდ მაშინ არის ეფექტური, როდესაც გამოიყენება ყოველდღიურ სამუშაო პროცესებში. ბევრი დარღვევა მაინც ხდება, რადგან უსაფრთხოების ჯგუფები შეუზღუდავი დაშვება 0.0.0.0/0 შემომავალი წვდომა, CloudTrail-ის ჟურნალირება არ არის ჩართული ყველა რეგიონში, ან EBS მოცულობები დაშიფვრის გარეშე იშვება.
ამიტომ, პლატფორმა თავად უსაფრთხოა, მაგრამ არასწორი კონფიგურაცია და უგულებელყოფა ქმნის დაუცველობას. ამ რისკების შესამცირებლად, გუნდებმა უნდა აღასრულონ AWS უსაფრთხოების საუკეთესო პრაქტიკა პოლიტიკით, როგორც კოდით, ავტომატიზირებული IaC სკანირება და სავალდებულო ჟურნალირება. გარდა ამისა, ამ დამცავი მექანიზმების ჩასმა pipelines უზრუნველყოფს Amazon Web Services-ის უსაფრთხოების სანდოობას მასშტაბურად.
AWS ნაგულისხმევად უსაფრთხოა?
AWS გთავაზობთ მყარ საფუძველს დაშიფვრით, შესაბამისობის სერტიფიკატებით და გლობალურად გაძლიერებული ინფრასტრუქტურით. თუმცა, ნაგულისხმევი პარამეტრები ყველა რისკს არ აჩერებს. უსაფრთხოება დამოკიდებულია იმაზე, თუ როგორ აკონფიგურირებენ გუნდები თითოეულ სერვისს.
მაგალითად, გუნდს შეუძლია ახალი S3 ბაკეტის გამოაშკარავება ერთით public-read ACL. დეველოპერს ასევე შეუძლია Lambda ფუნქციის გაშვება AdministratorAccess ნებართვები, რაც ქმნის პრივილეგიების ესკალაციის მყისიერ გზას. გუნდები, რომლებიც გამოტოვებენ გამყარებას, ხშირად ტოვებენ EBS სნეპშოტებს ან RDS სარეზერვო ასლებს საერთო მდგომარეობებში, რომელთა გამოყენება ნებისმიერს შეუძლია.
ძლიერი Amazon Web Services-ის უსაფრთხოება საუკეთესო პრაქტიკის თანმიმდევრული გამოყენების შედეგია. დეველოპერებმა უნდა დაწერონ გამაგრებული ინფრასტრუქტურა კოდის შაბლონების სახით, დაასკანირონ IaC განუწყვეტლივ და აღსრულება, guardrails in CI/CD pipelines.
როდესაც გუნდები ამ მიდგომას მიჰყვებიან, ისინი გამოშვებამდე საშიშ ზემოქმედებას თავიდან აიცილებენ. ავტომატიზაცია ამ დაცვას ყველა გარემოში აწესებს და გამორიცხავს ხელით მიმოხილვებზე დაყრდნობის საჭიროებას.
AWS-ის ძირითადი უსაფრთხოების სერვისები
რა არის უსაფრთხოების ჯგუფი AWS-ში?
A უსაფრთხოების ჯგუფი AWS-ში მუშაობს ვირტუალური firewall-ის მსგავსად. ის ფილტრავს შემომავალ და გამავალ ტრაფიკს ისეთი რესურსებისთვის, როგორიცაა EC2 ინსტანციები, RDS მონაცემთა ბაზები და Lambda ფუნქციები. ნაგულისხმევად, უსაფრთხოების ჯგუფი ბლოკავს ყველა შემომავალ კავშირს და უშვებს გამავალ ტრაფიკს. თუმცა, დეველოპერებმა წესები ცალსახად უნდა დააკონფიგურირონ.
მაგალითად, 22-ე პორტის გახსნა 0.0.0.0/0 საშუალებას იძლევა SSH ინტერნეტის ნებისმიერი ადგილიდან. შედეგად, თავდამსხმელებს შეუძლიათ რამდენიმე წუთში იძულებით მოპარონ ავტორიზაციის მონაცემები. გარდა ამისა, ზედმეტად ფართო წესები ხშირად ჩნდება ძველი საცავებიდან კოპირებულ Terraform-ის ან CloudFormation-ის შაბლონებში.
ამიტომ, დეველოპერებმა უნდა უზრუნველყონ მინიმალური პრივილეგიებით წვდომა. შეუზღუდავი შემომავალი წესების მინიჭების ნაცვლად, განსაზღვრეთ კონკრეტული IP დიაპაზონები, პორტები და პროტოკოლები. გარდა ამისა, ინფრასტრუქტურის სკანირება კოდის სახით CI/CD pipelines უზრუნველყოფს, რომ არაუსაფრთხო უსაფრთხოების ჯგუფის წესები არასდროს მოხვდეს წარმოებაში.
რა არის AWS Security Hub?
AWS უსაფრთხოების ცენტრი აერთიანებს AWS-ის მრავალი სერვისის, როგორიცაა GuardDuty, Inspector და IAM Access Analyzer, დასკვნებს. ის უზრუნველყოფს ერთიან dashboard რომელიც აჩვენებს არასწორ კონფიგურაციებს, შესაბამისობის ხარვეზებს და უსაფრთხოების შეტყობინებებს თქვენს AWS ანგარიშებზე.
მაგალითად, AWS Security Hub ხაზს უსვამს ღია S3 ბაკეტებს, wildcard IAM პოლიტიკებს ან გამორთულ CloudTrail ჟურნალებს. შედეგად, გუნდები ხედავენ რისკებს, რომლებიც ხშირად იმალება დიდ გარემოში.
გარდა ამისა, AWS Security Hub ინტეგრირდება მორგებულ სკანერებთან და მესამე მხარის ინსტრუმენტებთან. დეველოპერებს შეუძლიათ დასკვნების პირდაპირ ჰაბში გაგზავნა, მათი GuardDuty შეტყობინებებთან კორელაცია და EventBridge-ის საშუალებით ავტომატური პასუხების გააქტიურება.
ამგვარად, AWS Security Hub არ ცვლის მონიტორინგის სერვისებს. ამის ნაცვლად, ის ცენტრალიზებულად აქცევს შედეგებს, რათა დეველოპერებმა და უსაფრთხოების გუნდებმა უფრო სწრაფად იმოქმედონ კონტექსტის შეცვლის გარეშე.
როგორ გამოვიყენოთ AWS Security Hub?
იმისათვის, რომ გამოიყენოთ AWS უსაფრთხოების ცენტრი, თქვენ ჯერ უნდა ჩართოთ ის ყველა AWS რეგიონში, სადაც სამუშაო დატვირთვებს ამუშავებთ. გააქტიურების შემდეგ, Security Hub იწყებს მონაცემების შეგროვებას მხარდაჭერილი სერვისებიდან, როგორიცაა Inspector, GuardDuty და Config.
მაგალითად, AWS Security Hub-ის ჩართვის შემდეგ, თქვენ შეგიძლიათ ავტომატურად აღმოაჩინოთ EC2 ეგზემპლარები მოძველებული AMI-ებით, IAM როლები ადმინისტრატორის უფლებებით ან დაუშიფრავი RDS მონაცემთა ბაზებით. შედეგად, თქვენ ხედავთ პრობლემებს, რომელთა გამოყენება თავდამსხმელებს შეუძლიათ წარმოებაში შესვლამდე დიდი ხნით ადრე.
გარდა ამისა, დეველოპერებს შეუძლიათ დაკავშირება CI/CD pipelineარასწორი კონფიგურაციების გაგზავნა უსაფრთხოების ცენტრში. მაგალითად, როდესაც Terraform-ის შაბლონი განსაზღვრავს საჯარო S3 ბაკეტს, დასკვნა გამოჩნდება უსაფრთხოების ცენტრში. dashboardამგვარად, გუნდებს შეუძლიათ გამოიყენონ Security Hub როგორც შესაბამისობის შემოწმების, ასევე რეალურ დროში შეტყობინების სისტემის სახით.
გარდა ამისა, AWS Security Hub მხარს უჭერს ავტომატიზაციას. EventBridge-ის საშუალებით შეგიძლიათ გაააქტიუროთ Lambda ფუნქციები, რომლებიც მყისიერად გამოასწორებენ სარისკო ცვლილებებს. AWS Security Hub მხოლოდ შეტყობინებების ჩვენების ნაცვლად, თქვენი ღრუბლოვანი უსაფრთხოების სამუშაო პროცესში აქტიურ დამცავ ბარიერად იქცევა.
რა არის AWS უსაფრთხოების ტოკენ სერვისი (STS)?
AWS უსაფრთხოების ტოკენების სერვისი (STS) გასცემს დროებით, შეზღუდული პრივილეგიების მქონე ავტორიზაციის ცნობებს, რომელთა გამოყენებაც აპლიკაციებსა და სერვისებს შეუძლიათ AWS რესურსებზე წვდომისთვის. ხანგრძლივი წვდომის გასაღებებისგან განსხვავებით, STS ტოკენები ავტომატურად იწურება მოკლე პერიოდის შემდეგ.
მაგალითად, როდესაც ა CI/CD pipeline ინფრასტრუქტურის განლაგების შემდეგ, მას შეუძლია მოითხოვოს STS ტოკენი მხოლოდ ამ სამუშაოსთვის საჭირო ნებართვებით. შედეგად, თავდამსხმელები ვერ შეძლებენ მოგვიანებით ხელახლა გამოიყენონ ავტორიზაციის მონაცემები, რადგან ტოკენის მოქმედების ვადა იწურება.
გარდა ამისა, AWS Security Token Service ინტეგრირდება IAM როლებთან. დეველოპერებს შეუძლიათ სხვადასხვა ანგარიშზე როლების შესრულება კოდში ან კონფიგურაციის ფაილებში მუდმივი გასაღებების ჩაწერის გარეშე. ამიტომ, STS ამცირებს Git ისტორიაში ან Docker-ის სურათებში ავტორიზაციის მონაცემების გაჟონვის რისკს.
გარდა ამისა, STS აწესებს დიზაინის მიხედვით ყველაზე მცირე პრივილეგიასტატიკური ადმინისტრატორის სერთიფიკატების გამოვლენის ნაცვლად, თქვენ ქმნით ტოკენებს, რომლებიც კონკრეტული მოქმედებების ფარგლებშია. პრაქტიკაში, ეს ზღუდავს აფეთქების რადიუსს, თუ pipeline ან კონტეინერი დაზიანდება.
AWS უსაფრთხოების საუკეთესო პრაქტიკა
Amazon Web Services-ის უსაფრთხოება ყველაზე ძლიერია, როდესაც გუნდები იყენებენ თანმიმდევრულ, ავტომატიზირებულ AWS უსაფრთხოების საუკეთესო პრაქტიკას. თითოეული პრაქტიკა ღრუბლოვან გარემოში არსებულ საერთო ჩავარდნის წერტილს აგვარებს. მაგალითად, ყველაზე დაბალი პრივილეგიის მქონე IAM-ის აღსრულება, მონაცემების ნაგულისხმევად დაშიფვრა და ინფრასტრუქტურის კოდის სახით სკანირება ხელს უწყობს არასწორი კონფიგურაციების თავიდან აცილებას განლაგებამდე. რეალური განსხვავება ხელით შემოწმების სიასა და რეალურ დაცვას შორის მდგომარეობს ავტომატიზაციაში, რომელიც მუშაობს სამუშაო პროცესში და უზრუნველყოფს, რომ AWS უსაფრთხოების ეს საუკეთესო პრაქტიკა ყოველთვის გამოყენებული იყოს.
1. იდენტობისა და წვდომის მართვა (IAM)
ზედმეტად ფართო ნებართვები ერთ-ერთი ყველაზე სწრაფი გზაა თავდამსხმელებისთვის AWS ანგარიშების კონტროლის მოსაპოვებლად. root ანგარიშზე დაყრდნობის ან ადმინისტრატორის დონის როლების მინიჭების ნაცვლად, დანერგეთ მინიმალური პრივილეგიები. შექმენით დეტალური IAM პოლიტიკა, რეგულარულად შეცვალეთ წვდომის გასაღებები და მოითხოვეთ MFA ყველგან.
პრაქტიკაში, IAM შეცდომები ხშირად გვხვდება Terraform-ში ან CloudFormation-ში. ავტომატური სკანირება CI/CD შეუძლია სარისკო როლების დაჭერა და დაბლოკვა განლაგებამდე.
2. მონაცემთა დაცვა და დაშიფვრა
გუნდებმა მგრძნობიარე მონაცემები უნდა დაშიფრონ როგორც უმოქმედო, ასევე გადაცემის დროს. AWS სერვისები, როგორიცაა KMS ან CloudHSM, უზრუნველყოფენ ძლიერ დაშიფვრას, მაგრამ დეველოპერები ხშირად ივიწყებენ ამ პარამეტრების ჩართვას. როდესაც ეს ხდება, თავდამსხმელებს შეუძლიათ S3 ობიექტების წაკითხვა, დაუცველი EBS ტომების კლონირება ან დაუშიფრავი RDS ტრაფიკის ჩაჭრა.
ამ შეცდომების თავიდან აცილება შეგიძლიათ სირბილით pipeline ამოწმებს. CI/CD სკანირება ადასტურებს, რომ ყველა S3 ბაკეტი, RDS ეგზემპლარი და EBS ტომი დანერგვამდე შეიცავს დაშიფვრის პარამეტრებს. ამ გზით, თქვენ სტანდარტულად ახორციელებთ დაშიფვრას, დეველოპერებზე დაყრდნობის ნაცვლად.
3. უსაფრთხო ინფრასტრუქტურა კოდის სახით (IaC)
გუნდები, როგორც წესი, AWS რესურსებს Terraform-ის ან CloudFormation-ის მეშვეობით აწვდიან. თუმცა, კოპირებული შაბლონები ხშირად ნერგავს სახიფათო ნაგულისხმევ პარამეტრებს, როგორიცაა საჯარო S3 თაიგულები ან უსაფრთხოების ჯგუფები, რომლებიც ღიაა... 0.0.0.0/0დეველოპერებმა შეიძლება ეს შაბლონები გააგზავნონ იმის გაცნობიერების გარეშე, რომ ისინი სამუშაო დატვირთვას ინტერნეტს ავრცელებენ.
ამ რისკების თავიდან აცილება შეგიძლიათ სკანირებით IaC შერწყმამდე pull requestsავტომატური შემოწმებების აღსრულება Amazon Web Services-ის უსაფრთხოების საუკეთესო პრაქტიკა პირდაპირ კოდში. იმის ნაცვლად, რომ სახიფათო ნაგულისხმევი პარამეტრები ხელით გადახედვის გარეშე გამოტოვოთ, pipelines-მა დაბლოკოს ცვლილება და დეველოპერებს სთხოვოს მისი დაუყოვნებლივ გამოსწორება.
4. სამუშაო დატვირთვისგან დაცვა (კონტეინერები და კოდი)
AWS-ში აპლიკაციები ხშირად დამოკიდებულია კონტეინერის სურათებსა და ღია კოდის პაკეტებზე. ორივე ხშირი შეტევის ვექტორია. დაუცველი კოდი, როგორიცაა SQL ინექცია ან მყარი კოდირებული AWS გასაღებები, ასევე შეიძლება რისკის ქვეშ დააყენოს სამუშაო დატვირთვა.
ECR სურათებისა და აპლიკაციის კოდის ავტომატური სკანირება ხელს უწყობს CVE-ების, მავნე პროგრამების და საიდუმლოების განვითარების ციკლის დასაწყისში.
5. მონიტორინგი, ჟურნალირება და ავტომატური რეაგირება
AWS გთავაზობთ GuardDuty-ს, Inspector-ს და CloudTrail-ს. თუმცა, ისინი უსაფრთხოებას მხოლოდ იმ შემთხვევაში აუმჯობესებენ, თუ გაფრთხილებებზე რეაგირება მოხდება. ძალიან ხშირად, გამოშვების დროს აღმოჩენები გამოტოვებულია.
Guardrails in CI/CD pipelineსაეჭვო კონფიგურაციებს ან დაუცველ კომპონენტებს საშუალებას აძლევს, ავტომატური გამოსწორებები ან იძულებითი პოლიტიკა გამოიწვიონ. ხელით მიმოხილვებზე დაყრდნობის ნაცვლად, პრობლემები თანმიმდევრულად გვარდება სამუშაო პროცესის ფარგლებში.
| პრაქტიკა | რატომ არის მნიშვნელოვანი | როგორ გავუმკლავდეთ მას CI/CD | შესრულებულია |
|---|---|---|---|
| IAM-ის მინიმალური პრივილეგია, გასაღების როტაცია, MFA | ხელს უშლის თავდამსხმელებს სუსტი ან გამოუყენებელი ავტორიზაციის მონაცემების ბოროტად გამოყენებაში | Terraform/CloudFormation-ის პოლიტიკის სკანირება და ზედმეტად ნებადართული როლების დაბლოკვა | ⬜ |
| გამორთეთ root ანგარიში ყოველდღიური გამოყენებისთვის | აშორებს ყველაზე საშიშ ერთ წერტილს, რომელიც მარცხს იწვევს | აუდიტი pipelines და root ან admin როლების გამოყენების ფლაგის აღნიშვნა | ⬜ |
| დაშიფრეთ ყველა მონაცემი KMS-ით ან CloudHSM-ით | მგრძნობიარე მონაცემების უსაფრთხოებას უზრუნველყოფს როგორც დასვენების, ასევე ტრანსპორტირების დროს | განლაგებამდე შეამოწმეთ S3, RDS და EBS კონფიგურაციები დაშიფვრის არარსებობის გამო. | ⬜ |
| სკანირების IaC თარგები | ხელს უშლის სარისკო დეფოლტებს, როგორიცაა ღია S3 თაიგულები ან ფართოდ ღია უსაფრთხოების ჯგუფები | PR-ების გაერთიანებამდე, სკანირება განახორციელეთ Terraform/CloudFormation-ზე | ⬜ |
| კონტეინერის სურათების სკანირება | თავიდან აიცილებს კომპრომეტირებულ სამუშაო დატვირთვას EKS-ში ან ECS-ში | შეამოწმეთ ECR სურათები CVE-ების, საიდუმლოებებისა და მავნე პროგრამების არსებობაზე. CI/CD აშენებს | ⬜ |
| ჩართეთ GuardDuty, Inspector და CloudTrail | უზრუნველყოფს ანომალიების აღმოჩენას და აუდიტის კვალის პოვნას | დარწმუნდით, რომ მონიტორინგი და ჟურნალირება აქტიურია ყველა AWS ანგარიშსა და რეგიონში | ⬜ |
| ავტომატიზირება რემედიაციაში pipelines | ხელს უშლის სახიფათო ცვლილებების წარმოებამდე მიღწევას | გამოიყენეთ AutoFix ან ავტომატურად შეწყვიტეთ აწყობა კრიტიკული პრობლემების აღმოჩენისას | ⬜ |
როგორ ეხმარება Xygeni გუნდებს AWS უსაფრთხოების საუკეთესო პრაქტიკის გამოყენებაში
Amazon Web Services-ის უსაფრთხოება მხოლოდ მაშინ მუშაობს, როდესაც გუნდები სწორად აკონფიგურირებენ მას და იცავენ უსაფრთხოების ზომებს. pipelineს. ხელით მიმოხილვები საკმარისი არ არის. სწორედ აქ ქსიგენი ჯდება: ის ავტომატიზირებს აღსრულებას AWS უსაფრთხოების საუკეთესო პრაქტიკა პირდაპირ დეველოპერის სამუშაო პროცესებში.
- IAM რისკების ადრეულ ეტაპზე აღმოჩენა
Xygeni სკანირებს Terraform-ისა და CloudFormation-ის შაბლონებს wildcard როლების, ზედმეტად ფართო პოლიტიკის ან root-ის გამოყენების აღმოსაჩენად. ის ბლოკავს სარისკო კონფიგურაციებს მათ წარმოებაში მოხვედრამდე. - დაშიფვრის ყველგან აღსრულება
Pipeline შემოწმებები უზრუნველყოფს, რომ S3 ბაკეტები, RDS მონაცემთა ბაზები და EBS ტომები არასდროს გაეშვება დაშიფვრის გარეშე. დეველოპერები ხედავენ მკაფიო შეტყობინებებს მათში. pull requests. - უსაფრთხო ინფრასტრუქტურა კოდის სახით
Xygeni-ს მიმოხილვები IaC ისეთი არაუსაფრთხო ნაგულისხმევი პარამეტრებისთვის, როგორიცაა საჯარო S3 თაიგულები ან 0.0.0.0/0 უსაფრთხოების ჯგუფები. არაუსაფრთხო ცვლილებები წყდება commit დრო წარმოებაში ჩავარდნის ნაცვლად. - დაიცავით სამუშაო დატვირთვები
პლატფორმა სკანირებს ECR სურათებს და ღია კოდის დამოკიდებულებებს CVE-ების, მავნე პროგრამებისა და საიდუმლოებების აღმოსაჩენად. ეს ასევე გამოიყენება SAST აპლიკაციის კოდში, დაუცველობების აღმოჩენით გამოშვებამდე დიდი ხნით ადრე. - ავტომატიზაცია რემედიაცია
AutoFix-ის საშუალებით, Xygeni არა მხოლოდ პრობლემებს აღნიშნავს. ის ქმნის უსაფრთხო პატჩებს ან PR-ებს, რათა დეველოპერებმა პრობლემები მინიმალური ხახუნით მოაგვარონ. - Guardrails in CI/CD
Guardrails საშუალებას გაძლევთ დააყენოთ ისეთი პოლიტიკა, როგორიცაა „დაუშიფრავი S3 ბაკეტები არ არის“ ან „პრივილეგირებული კონტეინერები არ არის“. დარღვევის შემთხვევაში, ბილდი ავტომატურად ირღვევა.
შედეგად, გუნდები Amazon Web Services-ის უსაფრთხოების საუკეთესო პრაქტიკას სტანდარტულად იყენებენ და არა როგორც დამატებით აზრს. ხელით შემოწმებებზე ან შემდგომ კვლევებზე დაყრდნობის ნაცვლად, Xygeni უზრუნველყოფს ყველაფერს. commit, შაბლონი და სამუშაო დატვირთვა შეესაბამება AWS-ის უსაფრთხოების კონტროლს.
