Escaneos de conformidad en AWS OpsWorks for Chef Automate

Si aún no lo ha hecho, inicie sesión en el panel basado en Web de Chef Automate. Utilice las credenciales que recibió al descargar el Starter Kit cuando creó el servidor de AWS OpsWorks for Chef Automate .

En el panel de Chef Automate, seleccione la pestaña Asset Store (Almacén de recursos).

Seleccione la pestaña Available (Disponibles) para ver los perfiles predefinidos.

Examine la lista de perfiles. Elija un perfil que coincida con el sistema operativo y la configuración de al menos uno de los nodos administrados. Para ver detalles sobre el perfil, incluida una descripción de infracciones dirigidas del perfil y el código de la regla subyacente, elija > a la derecha de la entrada del perfil. Puede seleccionar varios perfiles. Si está configurando el ejemplo del kit de inicio, elija DevSec SSH Baseline.

Para instalar los perfiles seleccionados en el servidor de Chef Automate, seleccione Get (Obtener).

Una vez que se instalan los perfiles, aparecen en la pestaña Profiles (Perfiles) del panel de Chef Automate.

Consulte el archivo Policyfile.rb del Starter Kit para ver cómo los atributos del libro de recetas Audit especifican el perfil ssh-baseline en ['profiles'].

# Define audit cookbook attributes
default["opsworks-demo"]["audit"]["reporter"] = "chef-server-automate"
default["opsworks-demo"]["audit"]["profiles"] = [
  {
    "name": "DevSec SSH Baseline",
    "compliance": "admin/ssh-baseline"
  }
]

Descargue e instale los libros de recetas definidos en Policyfile.rb.

chef install

Todos los libros de recetas cuentan con varias versiones en el archivo metadata.rb. Cada vez que modifique un libro de recetas, debe aumentar la versión del libro de recetas que se encuentra en metadata.rb.

Inserte en el servidor la política opsworks-demo, definida en Policyfile.rb.

chef push opsworks-demo

Compruebe la instalación de la política. Ejecute el siguiente comando de la .

chef show-policy

Los resultados deberían ser similares a los siguientes:

opsworks-demo-webserver 
======================= 
* opsworks-demo:  ec0fe46314

Si aún no lo ha hecho, añada los nodos al servidor que va a administrar. Para conectar el primer nodo al AWS OpsWorks for Chef Automate servidor, utilice el userdata.sh script que se incluye en este kit de inicio. Utiliza la AWS OpsWorks AssociateNode API para conectar un nodo al servidor.

Si desea automatizar la asociación de los nodos, siga los pasos que se indican en Añada nodos automáticamente en AWS OpsWorks for Chef Automate. Si desea añadir los nodos de uno en uno, siga los pasos que se indican en Añada nodos de forma individual.

Después de actualizar la lista de ejecución de los nodos, el agente chef-client ejecuta las recetas especificadas en el siguiente período de ejecución. De forma predeterminada, esto ocurre cada 1800 segundos (30 minutos). Después de la ejecución, podrá ver los resultados de conformidad y realizar acciones en la pestaña Compliance (Conformidad) del panel de Chef Automate.

En un editor de texto, añada el libro de recetas ssh-hardening a la lista de ejecución de Policyfile.rb. La lista de ejecución de Policyfile.rb debe ser similar a la siguiente.

run_list  'chef-client', 'opsworks-webserver', 'audit', 'ssh-hardening'

Actualice el archivo Policyfile.rb y envíelo al servidor de AWS OpsWorks for Chef Automate .

chef update Policyfile.rb
   chef push opsworks-demo

Los nodos que asociados con la política opsworks-demo actualizarán la lista de ejecución de forma automática y aplicarán el libro de recetas ssh-hardening en la próxima ejecución de chef-client.

Dado que está utilizando el libro de recetas chef-client, el nodo realiza comprobaciones a intervalos periódicos (de forma predeterminada, cada 30 minutos). La próxima vez que se registre, el ssh-hardening libro de cocina se publicará y ayudará a mejorar la seguridad de los nodos para cumplir con las reglas del perfil DevSec SSH Baseline.

Después de la ejecución inicial del libro de recetas ssh-hardening, espere 30 minutos para ejecutar de nuevo un análisis de conformidad. Consulte los resultados en el panel de Chef Automate. Deberían resolverse los resultados no conformes que se produjeron en la ejecución inicial del escaneo DevSec SSH Baseline.

Si aún no lo ha hecho, inicie sesión en el panel basado en Web de Chef Automate. Use las credenciales que recibió al descargar el kit de inicio al crear su servidor. AWS OpsWorks for Chef Automate

En el panel de Chef Automate, seleccione la pestaña Compliance (Conformidad).

En la barra de navegación izquierda, seleccione Profile Store (Almacén de perfiles) y, a continuación, elija la pestaña Available (Disponible) para ver los perfiles predefinidos.

Examine la lista de perfiles. Elija un perfil que coincida con el sistema operativo y la configuración de al menos uno de los nodos administrados. Para ver detalles sobre el perfil, incluida una descripción de infracciones dirigidas del perfil y el código de la regla subyacente, elija > a la derecha de la entrada del perfil. Puede seleccionar varios perfiles.

Para instalar los perfiles seleccionados en el servidor de Chef Automate, seleccione Get (Obtener).

Cuando haya terminado la descarga, vaya al siguiente procedimiento.

Este paso es opcional, pero ahorra tiempo en el paso 6, cuando esté agregando recetas a listas de ejecución de nodos. Edite el archivo roles/opsworks-example-role.rb que se incluye en el kit de inicio descargado durante la creación de su servidor de AWS OpsWorks for Chef Automate . Añada las siguientes líneas. La última línea está comentada, ya que añadir el libro de recetas ssh-hardening y la receta para resolver los nodos no conformes después de la ejecución de su análisis de Compliance es opcional.

run_list(
     "recipe[chef-client]",
     "recipe[apache2]",
     "recipe[opsworks-audit]"
     # "recipe[ssh-hardening]"
       )

Utilice un editor de texto para especificar los libros de recetas que desee en su Berksfile. En Starter Kit contiene un Berksfile de ejemplo. En este ejemplo, vamos a instalar los libros de recetas chef-client, apache2 y opsworks-audit de Chef Infra. El Berksfile debería parecerse a lo siguiente.

source 'https://supermarket.chef.io
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0'

Todos los libros de recetas cuentan con varias versiones en el archivo metadata.rb. Cada vez que modifique un libro de recetas, debe aumentar la versión del libro de recetas que se encuentra en metadata.rb.

Ejecute el siguiente comando para descargar e instalar los libros de recetas en la carpeta cookbooks en su equipo local o de trabajo.

berks vendor cookbooks

Ejecute el siguiente comando para cargar los libros de recetas proporcionados en el servidor de AWS OpsWorks for Chef Automate .

knife upload .

Ejecute el siguiente comando para verificar la instalación del libro de recetas opsworks-audit mostrando una lista de libros de recetas disponibles actualmente en el servidor.

knife cookbook list

Si aún no lo ha hecho, añada los nodos al servidor que va a administrar. Si desea automatizar la asociación de los nodos, siga los pasos que se indican en Añada nodos automáticamente en AWS OpsWorks for Chef Automate. Si desea añadir los nodos de uno en uno, siga los pasos que se indican en Añada nodos de forma individual. Edite la lista de ejecución de sus nodos para añadir la función que especificó en el paso 1, opsworks-example-role. En este ejemplo, vamos a editar el atributo RUN_LIST en el script userdata que se utiliza para automatizar la asociación de nodos.

RUN_LIST="role[opsworks-example-role]"

Si omitió el paso 1, y no configuró la función, añada los nombres de las recetas individuales a la lista de ejecución. Guarde los cambios y siga los pasos indicados en Paso 3: Crear instancias usando un script de asociación desatendida para aplicar el script en datos de usuario a las instancias de Amazon EC2.

RUN_LIST="recipe[chef-client],recipe[apache2],recipe[opworks-audit]"

Después de actualizar la lista de ejecución de los nodos, el agente chef-client ejecuta las recetas especificadas en el siguiente período de ejecución. De forma predeterminada, esto ocurre cada 1800 segundos (30 minutos). Después de la ejecución, los resultados de Compliance se pueden ver en el panel de Chef Automate.

En un editor de texto, añada el libro de recetas ssh-hardening a su Berksfile. El Berksfile debería parecerse a lo siguiente.

source 'https://supermarket.chef.io'
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0' # optional
     cookbook 'ssh-hardening'

Ejecute los siguientes comandos para descargar el libro de recetas ssh-hardening en su carpeta local de libros de recetas y, a continuación, cargarlo a su servidor de AWS OpsWorks for Chef Automate .

berks vendor cookbooks
knife upload .

Añada la receta ssh-hardening a su lista de ejecución de nodos tal y como se describe en los pasos 1 y 6 de Para instalar y configurar el libro de recetas opsworks-audit.

Si actualiza el archivo opsworks-example-role.rb, cargue los cambios al servidor mediante la ejecución del siguiente comando.

knife upload .

Si actualiza la lista de ejecución directamente, cargue los cambios ejecutando el siguiente comando. El nombre del nodo suele ser el ID de instancia.

knife node run_list add <node name> 'recipe[ssh-hardening]'

Dado que está utilizando el libro de recetas chef-client, el nodo realiza comprobaciones a intervalos periódicos (de forma predeterminada, cada 30 minutos). La próxima vez que se registre, el ssh-hardening libro de cocina se publicará y ayudará a mejorar la seguridad de los nodos para cumplir con las reglas del perfil DevSec SSH Baseline.

Después de la ejecución inicial del libro de recetas ssh-hardening, espere 30 minutos para ejecutar de nuevo un análisis de Compliance. Consulte los resultados en el panel de Chef Automate. Deberían resolverse los resultados no conformes que se produjeron en la ejecución inicial del escaneo DevSec SSH Baseline.