Analyses de conformité dans AWS OpsWorks for Chef Automate

Si vous ne l'avez pas déjà fait, connectez-vous au tableau de bord web Chef Automate. Utilisez les informations d'identification que vous avez reçues lorsque vous avez téléchargé le Starter Kit lors de la création de votre serveur AWS OpsWorks for Chef Automate .

Dans le tableau de bord Chef Automate, choisissez l'onglet Asset Store (Magasin de ressources).

Choisissez l'onglet Available (Disponibles) pour afficher les profils prédéfinis.

Parcourez la liste des profils. Choisissez un profil correspondant au système d'exploitation et à la configuration d'au moins un de vos nœuds gérés. Pour afficher des détails sur le profil, dont une description des violations ciblées et le code des règles sous-jacentes, choisissez > à droite de l'entrée du profil. Vous pouvez choisir plusieurs profils. Si vous configurez l'exemple dans le kit de démarrage, choisissez DevSec SSH Baseline.

Pour installer les profils sélectionnés sur votre serveur Chef Automate, choisissez Get (Obtenir).

Une fois que vous avez installé les profils, ils s'affichent dans l'onglet Profiles (Profils) du tableau de bord Chef Automate.

Affichez le fichier Policyfile.rb de votre Starter Kit pour voir que les attributs du livre de recettes Audit spécifient le profil ssh-baseline dans ['profiles'].

# Define audit cookbook attributes
default["opsworks-demo"]["audit"]["reporter"] = "chef-server-automate"
default["opsworks-demo"]["audit"]["profiles"] = [
  {
    "name": "DevSec SSH Baseline",
    "compliance": "admin/ssh-baseline"
  }
]

Téléchargez et installez les livres de recettes définis dans Policyfile.rb.

chef install

Tous les livres de recettes sont versionnés dans le fichier metadata.rb du livre de recettes. Chaque fois que vous modifiez un livre de recettes, vous devez modifier la version du livre de recettes se trouvant dans son fichier metadata.rb.

Transférez la stratégie opsworks-demo, définie dans Policyfile.rb, à votre serveur.

chef push opsworks-demo

Vérifiez l'installation de votre stratégie. Exécutez la commande suivante.

chef show-policy

Les résultats doivent ressembler à ce qui suit :

opsworks-demo-webserver 
======================= 
* opsworks-demo:  ec0fe46314

Ajoutez des nœuds à votre serveur pour les gérer, si vous ne l'avez pas déjà fait. Pour connecter votre premier nœud au AWS OpsWorks for Chef Automate serveur, utilisez le userdata.sh script inclus dans ce kit de démarrage. Il utilise l' AWS OpsWorks AssociateNodeAPI pour connecter un nœud à votre serveur.

Vous pouvez automatiser l'association des nœuds en suivant les étapes décrites dans Ajouter des nœuds automatiquement AWS OpsWorks for Chef Automate ou ajouter des nœuds l'un après l'autre en suivant les étapes indiquées dans Ajouter des nœuds individuellement.

Une fois que vous avez mis à jour la liste d'exécution de vos nœuds, l'agent chef-client exécute les recettes spécifiées lors de son exécution suivante. Par défaut, cela se produit toutes les 1 800 secondes (30 minutes). Après l'exécution, vous pouvez afficher les résultats de conformité et effectuer des actions en conséquence à partir de l'onglet Compliance (Conformité) du tableau de bord Chef Automate.

Dans un éditeur de texte, ajoutez le livre de recettes ssh-hardening à la liste d'exécution de Policyfile.rb. La liste d'exécution de Policyfile.rb doit correspondre à ce qui suit.

run_list  'chef-client', 'opsworks-webserver', 'audit', 'ssh-hardening'

Mettez à jour le fichier Policyfile.rb et transmettez-le à votre serveur AWS OpsWorks for Chef Automate .

chef update Policyfile.rb
   chef push opsworks-demo

Les nœuds qui sont associés à la stratégie opsworks-demo mettent automatiquement à jour la liste d'exécution et appliquent le livre de recettes ssh-hardening lors de l'exécution suivante de chef-client.

Étant donné que vous utilisez le livre de recettes chef-client, votre nœud effectue des vérifications à intervalles réguliers (par défaut, toutes les 30 minutes). Lors du prochain enregistrement, le ssh-hardening livre de recettes s'exécute et contribue à améliorer la sécurité des nœuds afin de respecter les règles du profil DevSec SSH Baseline.

Une fois l'exécution initiale du livre de recettes ssh-hardening terminée, attendez 30 minutes afin qu'une analyse de conformité s'exécute à nouveau. Affichez les résultats dans le tableau de bord Chef Automate. Les résultats non conformes survenus lors de l'exécution initiale de l'analyse DevSec SSH Baseline doivent être résolus.

Si vous ne l'avez pas déjà fait, connectez-vous au tableau de bord web Chef Automate. Utilisez les informations d'identification que vous avez reçues lorsque vous avez téléchargé le kit de démarrage lors de la création de votre AWS OpsWorks for Chef Automate serveur.

Dans le tableau de bord Chef Automate, choisissez l'onglet Compliance (Conformité).

Dans la barre de navigation de gauche, choisissez Profile Store (Stockage de profils), puis ouvrez l'onglet Disponible pour afficher les profils prédéfinis disponibles.

Parcourez la liste des profils. Choisissez un profil correspondant au système d'exploitation et à la configuration d'au moins un de vos nœuds gérés. Pour afficher des détails sur le profil, dont une description des violations ciblées et le code des règles sous-jacentes, choisissez > à droite de l'entrée du profil. Vous pouvez choisir plusieurs profils.

Pour installer les profils sélectionnés sur votre serveur Chef Automate, choisissez Get (Obtenir).

Lorsque le téléchargement est terminé, passez à la procédure suivante.

Cette étape est facultative, mais elle permet de gagner du temps à l'étape 6, lorsque vous ajoutez des recettes aux listes d'exécution des nœuds. Modifiez le fichier roles/opsworks-example-role.rb qui est inclus dans le kit de démarrage que vous avez téléchargé lors de la création de votre serveur AWS OpsWorks for Chef Automate . Ajoutez les lignes suivantes. La dernière ligne est mise en commentaire, car l'ajout du livre de recettes ssh-hardening et des recettes correspondantes pour résoudre les nœuds non conformes après l'exécution de votre analyse de conformité est facultatif.

run_list(
     "recipe[chef-client]",
     "recipe[apache2]",
     "recipe[opsworks-audit]"
     # "recipe[ssh-hardening]"
       )

Utilisez un éditeur de texte pour spécifier les livres de recettes souhaités dans votre Berksfile. Un exemple de fichier Berksfile est fourni dans le kit de démarrage. Dans cet exemple, nous installons le livre de recettes du client Chef Infra (chef-client), ainsi que les livres de recettes apache2 et opsworks-audit. Votre fichier Berksfile doit ressembler à ce qui suit.

source 'https://supermarket.chef.io
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0'

Tous les livres de recettes sont versionnés dans le fichier metadata.rb du livre de recettes. Chaque fois que vous modifiez un livre de recettes, vous devez modifier la version du livre de recettes se trouvant dans son fichier metadata.rb.

Exécutez la commande suivante pour télécharger et installer les livres de recettes dans le dossier cookbooks sur votre ordinateur local ou votre ordinateur de travail.

berks vendor cookbooks

Exécutez la commande suivante pour télécharger les livres de recettes fournis sur votre serveur AWS OpsWorks for Chef Automate .

knife upload .

Exécutez la commande suivante pour vérifier l'installation du livre de recettes opsworks-audit en affichant la liste des livres de recettes actuellement disponibles sur le serveur.

knife cookbook list

Ajoutez des nœuds à votre serveur pour les gérer, si vous ne l'avez pas déjà fait. Vous pouvez automatiser l'association des nœuds en suivant les étapes décrites dans Ajouter des nœuds automatiquement AWS OpsWorks for Chef Automate ou ajouter des nœuds l'un après l'autre en suivant les étapes indiquées dans Ajouter des nœuds individuellement. Modifiez la liste d'exécution de vos nœuds afin d'ajouter le rôle que vous avez spécifié à l'étape 1, opsworks-example-role. Dans cet exemple, nous modifions l'attribut RUN_LIST dans le script userdata que vous utilisez pour automatiser l'association des nœuds.

RUN_LIST="role[opsworks-example-role]"

Si vous avez ignoré l'étape 1 et que vous n'avez pas configuré le rôle, ajoutez les noms des recettes individuelles à la liste d'exécution. Enregistrez vos modifications et suivez les étapes ci-dessous Étape 3 : Création d'instances en utilisant un script d'association sans surveillance pour appliquer votre script de données utilisateur aux instances Amazon EC2.

RUN_LIST="recipe[chef-client],recipe[apache2],recipe[opworks-audit]"

Une fois que vous avez mis à jour la liste d'exécution de vos nœuds, l'agent chef-client exécute les recettes spécifiées lors de son exécution suivante. Par défaut, cela se produit toutes les 1 800 secondes (30 minutes). Après l'exécution, vos résultats de conformité sont visibles dans le tableau de bord Chef Automate.

Dans un éditeur de texte, ajoutez le ssh-hardeninglivre de recettes à votre fichier Berksfile. Votre fichier Berksfile doit ressembler à ce qui suit.

source 'https://supermarket.chef.io'
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0' # optional
     cookbook 'ssh-hardening'

Exécutez les commandes suivantes pour télécharger le livre de recettes ssh-hardening dans votre dossier de livres de recettes local, puis chargez-le sur votre serveur AWS OpsWorks for Chef Automate .

berks vendor cookbooks
knife upload .

Ajoutez la recette ssh-hardening à votre liste d'exécution de nœuds comme décrit dans les étapes 1 et 6 de Pour installer et configurer le livre de recettes opsworks-audit.

Si vous mettez à jour le fichier opsworks-example-role.rb, chargez vos modifications sur votre serveur en exécutant la commande suivante :

knife upload .

Si vous mettez directement à jour la liste d'exécution, chargez vos modifications en exécutant la commande suivante. Le nom de nœud est généralement l'ID de l'instance.

knife node run_list add <node name> 'recipe[ssh-hardening]'

Étant donné que vous utilisez le livre de recettes chef-client, votre nœud effectue des vérifications à intervalles réguliers (par défaut, toutes les 30 minutes). Lors du prochain enregistrement, le ssh-hardening livre de recettes s'exécute et contribue à améliorer la sécurité des nœuds afin de respecter les règles du profil DevSec SSH Baseline.

Une fois l'exécution initiale du livre de recettes ssh-hardening terminée, attendez 30 minutes afin qu'une analyse de conformité s'exécute à nouveau. Affichez les résultats dans le tableau de bord Chef Automate. Les résultats non conformes survenus lors de l'exécution initiale de l'analyse DevSec SSH Baseline doivent être résolus.