View a markdown version of this page

Bewährte Methoden für die Sicherheit in Windows-Instances - Amazon Elastic Compute Cloud
High-level Bewährte Methoden zur SicherheitUpdate-ManagementKonfigurationsmanagementÄnderungsmanagementPrüfung und Rechenschaftspflicht für Amazon-EC2-Windows-Instances

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Bewährte Methoden für die Sicherheit in Windows-Instances

Es wird empfohlen, die folgenden bewährten Methoden für die Sicherheit in Ihren Windows-Instances zu befolgen.

High-level Bewährte Methoden zur Sicherheit

Für Ihre Windows Instances sollten Sie die folgenden bewährten Methoden für die Sicherheit auf hohem Niveau einhalten:

  • geringster Zugriff – Gewähren Sie Zugriff nur auf vertrauenswürdige und erwartete Systeme und Speicherorte. Dies gilt für alle Microsoft-Produkte wie Active Directory, Microsoft-Geschäftsproduktivitätsserver und Infrastruktur-Services wie Remote Desktop-Dienste, Reverse-Proxy-Server, IIS-Webserver usw. Verwenden Sie AWS Funktionen wie Amazon EC2-Instance-Sicherheitsgruppen, Network Access Control Lists (ACLs) und Amazon public/private VPC-Subnetze, um die Sicherheit an mehreren Standorten in einer Architektur zu erhöhen. Innerhalb einer Windows-Instance können Kunden die Windows-Firewall verwenden, um eine tiefgreifende Verteidigungsstrategie innerhalb ihrer Bereitstellung zu entwickeln. Installieren Sie nur die Betriebssystemkomponenten und -anwendungen, die für die gewünschte Funktion des Systems erforderlich sind. Konfigurieren Sie Infrastruktur-Services wie IIS für die Ausführung unter Servicekonten oder für die Verwendung von Funktionen wie Anwendungspool-Identitäten, um lokal und remote auf Ressourcen in Ihrer gesamten Infrastruktur zuzugreifen.

  • Geringste Rechte — Legen Sie fest, welche Rechte Instances und Konten mindestens benötigen, um ihre Funktionen auszuführen. Schränken Sie diese Server und Benutzer so ein, dass nur diese definierten Berechtigungen gewährt werden. Verwenden Sie Techniken wie rollenbasierte Zugriffskontrollen, um die Angriffsfläche von Administratorkonten zu reduzieren, und erstellen Sie maximal eingeschränkte Rollen für die Ausführung einer Aufgabe. Verwenden Sie Betriebssystemfunktionen wie Encrypting File System (EFS) in NTFS, um sensible Daten im Ruhezustand zu verschlüsseln und den Anwendungs- und Benutzerzugriff darauf zu kontrollieren.

  • Konfigurationsmanagement — Erstellen Sie eine grundlegende Serverkonfiguration, die aktuelle Sicherheitspatches und hostbasierte Schutzsuiten umfasst, die Viren- und Anti-Malware-, Eindringlings- und detection/prevention Dateiintegritätsüberwachung umfassen. Bewerten Sie jeden Server anhand der aktuell aufgezeichneten Basislinie, um Abweichungen zu identifizieren und zu kennzeichnen. Stellen Sie sicher, dass jeder Server so konfiguriert ist, dass entsprechende Protokoll- und Prüfungsdaten generiert und sicher gespeichert werden.

  • Änderungsmanagement – Erstellen Sie Prozesse zur Steuerung von Änderungen an Serverkonfigurationsbasislinien und arbeiten Sie an vollautomatisierten Änderungsprozessen. Nutzen Sie außerdem Just Enough Administration (JEA) mit Windows PowerShell DSC, um den Administratorzugriff auf die minimal erforderlichen Funktionen zu beschränken.

  • Patch-Management – Implementieren Sie Prozesse, mit denen das Betriebssystem und die Anwendungen auf Ihren EC2-Instances regelmäßig gepatcht, aktualisiert und gesichert werden.

  • Prüfungsprotokolle – Prüfen Sie den Zugriff und alle Änderungen an Amazon EC2-Instances, um die Serverintegrität zu verifizieren und sicherzustellen, dass nur autorisierte Änderungen vorgenommen werden. Nutzen Sie Funktionen wie Enhanced Logging for IIS, um die Standardprotokollierungsfunktionen zu erweitern. AWS Funktionen wie VPC Flow Logs AWS CloudTrail stehen auch zur Überwachung des Netzwerkzugriffs, einschließlich allowed/denied Anfragen bzw. API-Aufrufen, zur Verfügung.

Update-Management

Um optimale Ergebnisse beim Ausführen von Windows Server in Amazon EC2 sicherzustellen, empfehlen wir Ihnen die Implementierung der folgenden bewährten Methoden:

Weitere Informationen über den Upgrade oder die Migration einer Windows-Instance auf eine neuere Version von Windows Server finden Sie unter EC2 – Windows-Instance auf eine neuere Version von Windows Server aktualisieren.

Windows Update konfigurieren

Standardmäßig erhalten Instances, die von AWS Windows Server-AMIs gestartet werden, keine Updates über Windows Update.

Aktualisieren von Windows-Treibern

Verwenden Sie auf allen Windows-EC2-Instances die neuesten Treiber, damit auf allen Systemen die neuesten Fehlerbehebungen und Leistungsverbesserungen angewendet werden. Je nach Instance-Typ sollten Sie die AWS PV-, Amazon ENA- und AWS NVMe-Treiber aktualisieren.

  • Verwenden Sie SNS-Themen, um Informationen über neue Treiber-Releases zu erhalten.

  • Verwenden Sie das AWS Systems Manager Automation-Runbook AWSSupport-UpgradeWindowsAWSDrivers, um die Updates einfach auf Ihre Instances anzuwenden.

Instances mit den neuesten Windows-AMIs starten

AWS veröffentlicht jeden Monat neue Windows-AMIs, die die neuesten Betriebssystem-Patches, Treiber und Start-Agents enthalten. Nutzen Sie das neueste AMI, wenn Sie neue Instances starten oder eigene, benutzerdefinierte Images erstellen.

Testen Sie system/application die Leistung vor der Migration

Die Migration von Unternehmensanwendungen zu AWS kann viele Variablen und Konfigurationen beinhalten. Führen Sie immer Tests für die Leistung der EC2-Lösung durch, um Folgendes zu gewährleisten:

  • Die Instance-Typen müssen ordnungsgemäß konfiguriert sein, inklusive Instance-Größe, Enhanced Networking und Tenancy (geteilte oder Dedicated).

  • Die Instance-Topologie muss für die Workload geeignet sein und bei Bedarf Hochleistungsfunktionen wie Dedicated Tenancy, Platzierungsgruppen, Instance-Speicher-Volumes und Bare-Metal-Instances nutzen.

Installieren der neuesten Version von EC2Launch v2

Installieren Sie die neueste Version des EC2Launch-v2-Agenten, um sicherzustellen, dass aktuelle Verbesserungen auf die gesamte Flotte angewendet werden. Weitere Informationen finden Sie unter EC2Launch v2 installieren.

Wenn Sie über eine gemischte Flotte verfügen oder wenn Sie die Agenten EC2Launch (Windows Server 2016 und 2019) oder EC2 Config (nur ältere Betriebssysteme) weiterhin verwenden möchten, aktualisieren Sie auf die neuesten Versionen der entsprechenden Agenten.

Automatische Aktualisierungen werden auf den folgenden Kombinationen von Windows-Server-Version und Launch-Agenten unterstützt. Sie können sich in der SSM-Quick Setup des Host-Managements-Konsole unter Amazon-EC2-Launch-Agenten für automatische Updates anmelden.

Windows-Version EC2Launch v1 EC2Launch v2
2016 ✓ ✓
2019 ✓ ✓
2022 ✓

Konfigurationsmanagement

Amazon Machine Images (AMIs) bieten eine Erstkonfiguration für eine Amazon EC2-Instance, die das Windows-Betriebssystem und optionale kundenspezifische Anpassungen wie Anwendungen und Sicherheitskontrollen beinhaltet. Erstellen Sie einen AMI-Katalog mit benutzerdefinierten Basislinien für die Sicherheitskonfiguration, um sicherzustellen, dass alle Windows-Instances mit Standardsicherheitskontrollen gestartet werden. Sicherheitsbaselines können in ein AMI integriert, beim Start einer EC2-Instance dynamisch gebootet oder als Produkt für die einheitliche Verteilung über Service Catalog-Portfolios verpackt werden. AWS Weitere Informationen zum Sichern eines AMIs finden Sie unter Bewährte Methoden für die Erstellung eines AMIs.

Jede Amazon EC2-Instance sollte die organisatorischen Sicherheitsstandards einhalten. Installieren Sie keine Windows-Rollen und -Features, die nicht erforderlich sind, und installieren Sie Software zum Schutz vor bösartigem Code (Antivirus-, Antischadsoftware, Exploit-Begrenzung), überwachen Sie die Host-Integrität und führen Sie Angriffserkennungsmaßnahmen durch. Konfigurieren Sie Sicherheitssoftware, um Betriebssystem-Sicherheitseinstellungen zu überwachen und zu verwalten, die Integrität kritischer Betriebssystemdateien zu schützen und Warnungen zu Abweichungen von der Sicherheitsbasis zu erhalten. Erwägen Sie, empfohlene Sicherheitskonfigurations-Benchmarks zu implementieren, die von Microsoft, dem Center for Internet Security (CIS) oder dem National Institute of Standards and Technology (NIST) veröffentlicht wurden. Erwägen Sie, andere Microsoft-Tools für bestimmte Anwendungsserver zu verwenden, z. B. Best Practice Analyzer for SQL Server.

AWS Kunden können auch Amazon Inspector-Assessments durchführen, um die Sicherheit und Compliance von Anwendungen zu verbessern, die auf Amazon EC2-Instances bereitgestellt werden. Amazon Inspector prüft Anwendungen automatisch auf Schwachstellen oder Abweichungen von bewährten Methoden und enthält eine Wissensdatenbank aus Hunderten von Regeln, die den gängigen Standards der Sicherheits-Compliance (z. B. PCI DSS) und Schwachstellendefinitionen zugeordnet sind. Beispiele für integrierte Regeln sind die Überprüfung, ob die Remote-Root-Anmeldung aktiviert ist oder, ob anfällige Softwareversionen installiert sind. Diese Regeln werden regelmäßig von AWS Sicherheitsforschern aktualisiert.

Beim Sichern von Windows-Instances wird empfohlen, Active-Directory-Domain-Services zu implementieren, um eine skalierbare, sichere und verwaltbare Infrastruktur für verteilte Standorte zu ermöglichen. Darüber hinaus empfiehlt es sich, nach dem Starten von Instances über die Amazon EC2-Konsole oder mithilfe eines Amazon EC2-Bereitstellungstools wie AWS CloudFormation z. B. Microsoft Windows DSC die Verwendung systemeigener Betriebssystemfunktionen wie Microsoft Windows PowerShell DSC zu verwenden, um den Konfigurationsstatus beizubehalten, falls es zu einer Konfigurationsabweichung kommt.

Änderungsmanagement

Nachdem beim Start anfängliche Sicherheits-Baselines auf Amazon EC2-Instances angewendet wurden, kontrollieren Sie fortlaufende Amazon EC2-Änderungen, um die Sicherheit Ihrer virtuellen Maschinen zu wahren. Richten Sie einen Change-Management-Prozess ein, um Änderungen an AWS Ressourcen (wie Sicherheitsgruppen, Routing-Tabellen und Netzwerk-ACLs) sowie an Betriebssystem- und Anwendungskonfigurationen (wie Windows- oder Anwendungs-Patches, Software-Upgrades oder Aktualisierungen von Konfigurationsdateien) zu autorisieren und zu integrieren.

AWS bietet verschiedene Tools zur Verwaltung von Änderungen an AWS Ressourcen, darunter, AWS CloudTrail AWS Config CloudFormation AWS Elastic Beanstalk, und und Management Packs für Systems Center Operations Manager und System Center Virtual Machine Manager. Beachten Sie, dass Microsoft Windows-Patches jeden zweiten Dienstag im Monat (oder bei Bedarf) veröffentlicht und alle von Microsoft verwalteten Windows-AMIs AWS innerhalb von fünf Tagen nach Veröffentlichung eines Patches AWS aktualisiert. Daher ist es wichtig, kontinuierlich alle Basis-AMIs zu patchen, CloudFormation Vorlagen und Auto Scaling-Gruppenkonfigurationen mit den neuesten AMI-IDs zu aktualisieren und Tools zur Automatisierung der laufenden Instance-Patchverwaltung zu implementieren.

Microsoft bietet verschiedene Optionen zum Verwalten von Windows-Betriebssystem- und Anwendungsänderungen. SCCM bietet beispielsweise eine vollständige Lebenszyklusabdeckung von Umgebungsänderungen. Wählen Sie Tools aus, die geschäftliche Anforderungen erfüllen und steuern, wie sich Änderungen auf Anwendungs-SLAs, Kapazität, Sicherheit und Notfallwiederherstellungsverfahren auswirken. Vermeiden Sie manuelle Änderungen und nutzen Sie stattdessen automatisierte Konfigurationsmanagementsoftware oder Befehlszeilentools wie den EC2 Run Command oder Windows, PowerShell um skriptgesteuerte, wiederholbare Änderungsprozesse zu implementieren. Um diese Anforderung zu erfüllen, verwenden Sie Bastion-Hosts mit erweiterter Protokollierung für alle Interaktionen mit Ihren Windows-Instances, um sicherzustellen, dass alle Ereignisse und Aufgaben automatisch aufgezeichnet werden.

Prüfung und Rechenschaftspflicht für Amazon-EC2-Windows-Instances

AWS CloudTrail AWS Config, und AWS-Config-Regeln bieten Funktionen zur Prüfung und Nachverfolgung von Änderungen an Ressourcen. AWS Konfigurieren Sie Windows-Ereignisprotokolle, um lokale Protokolldateien an ein zentrales Protokollverwaltungssystem zu senden, um Protokolldaten für die Sicherheits- und Betriebsverhaltensanalyse zu führen. Microsoft System Center Operations Manager (SCOM) aggregiert Informationen zu Microsoft-Anwendungen, die auf Windows-Instances bereitgestellt werden, und wendet vorkonfigurierte und benutzerdefinierte Regelsätze basierend auf Anwendungsrollen und -services an. System Center Management Packs bauen auf SCOM auf, um anwendungsspezifische Überwachungs- und Konfigurationsrichtlinien bereitzustellen. Diese Management Packs unterstützen Windows Server Active Directory, SharePoint Server 2013, Exchange Server 2013, Lync Server 2013, SQL Server 2014 und viele weitere Server und Technologien.

Zusätzlich zu den Systemverwaltungstools von Microsoft können Kunden Amazon verwenden, CloudWatch um die CPU-Auslastung, die Festplattenleistung und das Netzwerk I/O zu überwachen und Host- und Instance-Statusprüfungen durchzuführen. Die Services EC2Config und EC2Launch, und EC2Launch v2 bieten Zugriff auf zusätzliche, erweiterte Features für Windows-Instances. So können sie beispielsweise die System-, Sicherheits-, Anwendungs- und IIS-Protokolle (Internet Information Services) von Windows in Logs exportieren, die dann in CloudWatch Amazon-Metriken und Alarme integriert werden können. CloudWatch Kunden können auch Skripts erstellen, die Windows-Leistungsindikatoren in CloudWatch benutzerdefinierte Amazon-Metriken exportieren.