Pemindaian Kepatuhan di AWS OpsWorks for Chef Automate

Jika Anda belum melakukannya, masuk ke dasbor berbasis web Chef Automate. Gunakan kredenal yang Anda terima saat mengunduh Starter Kit saat Anda AWS OpsWorks for Chef Automate membuat server.

Di dasbor Chef Automate, pilih tab Asset Store.

Pilih tab Tersedia untuk melihat profil yang telah ditentukan sebelumnya.

Jelajahi daftar profil. Pilih profil yang cocok dengan sistem operasi dan konfigurasi setidaknya satu dari node terkelola Anda. Untuk melihat detail tentang profil, termasuk deskripsi pelanggaran yang ditargetkan profil dan kode aturan yang mendasarinya, pilih > di sebelah kanan entri profil. Anda dapat memilih beberapa profil. Jika Anda menyiapkan contoh di Starter Kit, pilih DevSec SSH Baseline.

Untuk menginstal profil yang dipilih di server Chef Automate Anda, pilih Dapatkan.

Setelah Anda menginstal profil, profil ditampilkan di tab Profil di dasbor Chef Automate.

Lihat Policyfile.rb di Starter Kit Anda untuk melihat bahwa atribut untuk buku masak Audit menentukan ssh-baseline profil di['profiles'].

# Define audit cookbook attributes
default["opsworks-demo"]["audit"]["reporter"] = "chef-server-automate"
default["opsworks-demo"]["audit"]["profiles"] = [
  {
    "name": "DevSec SSH Baseline",
    "compliance": "admin/ssh-baseline"
  }
]

Unduh dan instal buku masak yang ditentukan dalamPolicyfile.rb.

chef install

Semua buku masak diberi versi dalam file buku masak. metadata.rb Setiap kali Anda mengganti buku masak, Anda harus menaikkan versi buku masak yang ada di dalamnya. metadata.rb

Dorong kebijakanopsworks-demo, yang ditentukan dalamPolicyfile.rb, ke server Anda.

chef push opsworks-demo

Verifikasi pemasangan kebijakan Anda. Jalankan perintah berikut.

chef show-policy

Hasilnya harus menyerupai yang berikut:

opsworks-demo-webserver 
======================= 
* opsworks-demo:  ec0fe46314

Tambahkan node ke server Anda untuk mengelola, jika Anda belum melakukannya. Untuk menghubungkan node pertama Anda ke AWS OpsWorks for Chef Automate server, gunakan userdata.sh skrip yang disertakan dalam Starter Kit ini. Ini menggunakan AWS OpsWorks AssociateNode API untuk menghubungkan node ke server Anda.

Anda dapat mengotomatiskan asosiasi node dengan mengikuti langkah-langkahTambahkan node secara otomatis di AWS OpsWorks for Chef Automate, atau menambahkan node satu per satu dengan mengikuti langkah-langkah dalamTambahkan node satu per satu.

Setelah Anda memperbarui daftar run untuk node Anda, chef-client agen menjalankan resep yang Anda tentukan pada proses berikutnya. Secara default, ini terjadi setiap 1800 detik (30 menit). Setelah dijalankan, Anda dapat melihat dan mengambil tindakan pada hasil kepatuhan dari tab Kepatuhan di dasbor Chef Automate.

Dalam editor teks, tambahkan ssh-hardening buku masak ke daftar run. Policyfile.rb Daftar Policyfile.rb run harus cocok dengan yang berikut ini.

run_list  'chef-client', 'opsworks-webserver', 'audit', 'ssh-hardening'

PerbaruiPolicyfile.rb, dan dorong ke AWS OpsWorks for Chef Automate server Anda.

chef update Policyfile.rb
   chef push opsworks-demo

Node yang terkait dengan opsworks-demo kebijakan memperbarui daftar jalankan secara otomatis, dan menerapkan ssh-hardening buku masak pada proses berikutnyachef-client.

Karena Anda menggunakan chef-client buku masak, node Anda memeriksa secara berkala (secara default, setiap 30 menit). Pada check-in berikutnya, ssh-hardening buku masak berjalan, dan membantu meningkatkan keamanan node untuk memenuhi aturan profil DevSec SSH Baseline.

Setelah menjalankan awal ssh-hardening buku masak, tunggu 30 menit agar pemindaian kepatuhan berjalan lagi. Lihat hasilnya di dasbor Chef Automate. Hasil yang tidak sesuai yang terjadi pada awal pemindaian DevSec SSH Baseline harus diselesaikan.

Jika Anda belum melakukannya, masuk ke dasbor berbasis web Chef Automate. Gunakan kredenal yang Anda terima saat mengunduh Starter Kit saat Anda AWS OpsWorks for Chef Automate membuat server.

Di dasbor Chef Automate, pilih tab Kepatuhan.

Di bilah navigasi kiri, pilih Toko Profil, lalu pilih tab Tersedia untuk melihat profil yang telah ditentukan sebelumnya.

Jelajahi daftar profil. Pilih profil yang cocok dengan sistem operasi dan konfigurasi setidaknya satu dari node terkelola Anda. Untuk melihat detail tentang profil, termasuk deskripsi pelanggaran yang ditargetkan profil dan kode aturan yang mendasarinya, pilih > di sebelah kanan entri profil. Anda dapat memilih beberapa profil.

Untuk menginstal profil yang dipilih di server Chef Automate Anda, pilih Dapatkan.

Ketika unduhan selesai, lanjutkan ke prosedur selanjutnya.

Langkah ini opsional, tetapi menghemat waktu di Langkah 6, saat Anda menambahkan resep ke daftar run node. Edit roles/opsworks-example-role.rb file yang disertakan dalam starter kit yang Anda unduh selama pembuatan AWS OpsWorks for Chef Automate server Anda. Tambahkan baris berikut. Baris terakhir dikomentari, karena menambahkan ssh-hardening buku masak dan resep untuk menyelesaikan node yang tidak sesuai setelah pemindaian Kepatuhan Anda berjalan adalah opsional.

run_list(
     "recipe[chef-client]",
     "recipe[apache2]",
     "recipe[opsworks-audit]"
     # "recipe[ssh-hardening]"
       )

Gunakan editor teks untuk menentukan buku masak yang Anda inginkan di Berksfile Anda. Sampel Berksfile disediakan untuk Anda di starter kit. Dalam contoh ini, kami menginstal buku masak Chef Infra client (chef-client), buku apache2 masak, dan buku masak. opsworks-audit Berksfile Anda harus menyerupai yang berikut ini.

source 'https://supermarket.chef.io
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0'

Semua buku masak diberi versi dalam file buku masak. metadata.rb Setiap kali Anda mengganti buku masak, Anda harus menaikkan versi buku masak yang ada di dalamnya. metadata.rb

Jalankan perintah berikut untuk mengunduh dan menginstal buku masak ke cookbooks folder di komputer lokal atau komputer Anda yang berfungsi.

berks vendor cookbooks

Jalankan perintah berikut untuk mengunggah buku masak vendor ke server Anda. AWS OpsWorks for Chef Automate

knife upload .

Jalankan perintah berikut untuk memverifikasi instalasi opsworks-audit buku masak dengan menunjukkan daftar buku masak yang saat ini tersedia di server.

knife cookbook list

Tambahkan node ke server Anda untuk mengelola, jika Anda belum melakukannya. Anda dapat mengotomatiskan asosiasi node dengan mengikuti langkah-langkahTambahkan node secara otomatis di AWS OpsWorks for Chef Automate, atau menambahkan node satu per satu dengan mengikuti langkah-langkah dalamTambahkan node satu per satu. Edit daftar run node Anda untuk menambahkan peran yang Anda tentukan di Langkah 1,opsworks-example-role. Dalam contoh ini, kami mengedit RUN_LIST atribut dalam userdata skrip yang Anda gunakan untuk mengotomatiskan asosiasi node.

RUN_LIST="role[opsworks-example-role]"

Jika Anda melewati Langkah 1, dan tidak mengatur peran, tambahkan nama-nama resep individual ke daftar run. Simpan perubahan Anda, dan ikuti langkah-langkah Langkah 3: Buat Instans dengan Menggunakan Skrip Asosiasi Tanpa Pengawasan untuk menerapkan skrip data pengguna Anda ke instans Amazon EC2.

RUN_LIST="recipe[chef-client],recipe[apache2],recipe[opworks-audit]"

Setelah Anda memperbarui daftar run untuk node Anda, chef-client agen menjalankan resep yang Anda tentukan pada proses berikutnya. Secara default, ini terjadi setiap 1800 detik (30 menit). Setelah dijalankan, hasil Kepatuhan Anda akan terlihat di dasbor Chef Automate.

Dalam editor teks, tambahkan ssh-hardening buku masak ke Berksfile Anda. Berksfile Anda harus menyerupai yang berikut ini.

source 'https://supermarket.chef.io'
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0' # optional
     cookbook 'ssh-hardening'

Jalankan perintah berikut untuk mengunduh ssh-hardening buku masak ke folder buku masak lokal Anda, lalu unggah ke server Anda AWS OpsWorks for Chef Automate .

berks vendor cookbooks
knife upload .

Tambahkan ssh-hardening resep ke daftar run node Anda seperti yang dijelaskan dalam Langkah 1 dan 6Untuk menginstal dan mengatur buku opsworks-audit masak.

Jika Anda memperbarui opsworks-example-role.rb file, unggah perubahan Anda ke server Anda dengan menjalankan perintah berikut.

knife upload .

Jika Anda memperbarui daftar run secara langsung, unggah perubahan dengan menjalankan perintah berikut. Nama node biasanya ID instance.

knife node run_list add <node name> 'recipe[ssh-hardening]'

Karena Anda menggunakan chef-client buku masak, node Anda memeriksa secara berkala (secara default, setiap 30 menit). Pada check-in berikutnya, ssh-hardening buku masak berjalan, dan membantu meningkatkan keamanan node untuk memenuhi aturan profil DevSec SSH Baseline.

Setelah menjalankan awal ssh-hardening buku masak, tunggu 30 menit agar pemindaian Kepatuhan berjalan kembali. Lihat hasilnya di dasbor Chef Automate. Hasil yang tidak sesuai yang terjadi pada awal pemindaian DevSec SSH Baseline harus diselesaikan.