SEC06-BP03 Mengurangi manajemen manual dan akses interaktif - Pilar Keamanan
Panduan implementasiSumber daya

SEC06-BP03 Mengurangi manajemen manual dan akses interaktif

Gunakan otomatisasi sebisa mungkin untuk melakukan tugas deployment, konfigurasi, pemeliharaan, dan investigasi. Pertimbangkan akses manual ke sumber daya komputasi saat melakukan prosedur darurat atau berada dalam lingkungan yang aman (sandbox), ketika otomatisasi tidak tersedia.

Hasil yang diinginkan: Skrip terprogram dan dokumen otomatisasi (runbook) merekam tindakan resmi pada sumber daya komputasi Anda. Runbook ini dimulai baik secara otomatis, melalui sistem deteksi perubahan, maupun secara manual, ketika penilaian oleh manusia diperlukan. Akses langsung ke sumber daya komputasi hanya tersedia dalam situasi darurat ketika otomatisasi tidak tersedia. Semua aktivitas manual dicatat lognya dan dimasukkan ke dalam proses peninjauan untuk terus meningkatkan kemampuan-kemampuan otomatisasi Anda.

Anti-pola umum:

  • Akses interaktif ke EC2 instans Amazon dengan protokol seperti atau. SSH RDP

  • Mempertahankan login pengguna individu seperti /etc/passwd atau pengguna lokal Windows.

  • Berbagi kata sandi atau kunci privat untuk mengakses instans di antara beberapa pengguna.

  • Menginstal perangkat lunak dan membuat atau memperbarui file konfigurasi secara manual.

  • Memperbarui atau melakukan patching perangkat lunak secara manual.

  • Masuk ke instans untuk memecahkan masalah.

Manfaat menerapkan praktik terbaik ini: Melakukan tindakan dengan otomatisasi dapat membantu Anda mengurangi risiko operasional dari perubahan dan kesalahan konfigurasi yang tidak diinginkan. Menghapus penggunaan Secure Shell (SSH) dan Remote Desktop Protocol (RDP) untuk akses interaktif mengurangi cakupan akses ke sumber daya komputasi Anda. Hal ini akan menghilangkan jalur umum yang memungkinkan tindakan tidak sah. Pencatatan tugas manajemen sumber daya komputasi Anda dalam dokumen otomatisasi dan skrip programatis akan menyediakan sebuah mekanisme untuk menentukan dan mengaudit cakupan penuh aktivitas yang sah secara lebih mendetail.

Tingkat risiko yang terjadi jika praktik terbaik ini tidak diterapkan: Sedang

Panduan implementasi

Masuk ke instans adalah pendekatan klasik untuk administrasi sistem. Setelah menginstal sistem operasi server, pengguna biasanya akan masuk log in secara manual untuk mengonfigurasi sistem dan menginstal perangkat lunak yang diinginkan. Selama masa pakai server, pengguna mungkin masuk log in untuk melakukan pembaruan perangkat lunak, menerapkan patch, mengubah konfigurasi, dan memecahkan masalah.

Namun demikian, akses secara manual dapat menimbulkan sejumlah risiko. Ini membutuhkan server yang mendengarkan permintaan, seperti SSH atau RDP layanan, yang dapat memberikan jalur potensial untuk akses yang tidak sah. Ini juga meningkatkan risiko kesalahan manusia yang terkait dengan pelaksanaan langkah-langkah secara manual. Hal ini dapat mengakibatkan insiden beban kerja, kerusakan atau pemusnahan data, atau masalah-masalah keamanan lainnya. Akses manusia juga memerlukan perlindungan dari tindakan berbagi kredensial, yang bisa menimbulkan biaya overhead manajemen tambahan. 

Untuk mengurangi risiko ini, Anda dapat menerapkan solusi akses jarak jauh berbasis agen, seperti Systems Manager.AWS AWS Systems Manager Agen (SSMAgen) memulai saluran terenkripsi dan dengan demikian tidak bergantung pada mendengarkan permintaan yang dimulai secara eksternal. Pertimbangkan untuk mengonfigurasi SSM Agen untuk membuat saluran ini melalui titik VPC akhir.

Systems Manager memberikan Anda kontrol terperinci tentang cara berinteraksi dengan instans terkelola. Anda dapat menentukan otomatisasi yang akan dijalankan, siapa yang bisa menjalankannya, dan kapan mereka bisa menjalankannya. Systems Manager dapat menerapkan patch, menginstal perangkat lunak, dan membuat perubahan konfigurasi tanpa akses interaktif ke instans. Systems Manager juga dapat menyediakan akses ke shell jarak jauh dan mencatat setiap perintah yang dipanggil, dan outputnya, selama sesi ke log dan Amazon S3. AWS CloudTrailmencatat pemanggilan Systems Manager APIs untuk inspeksi.

Langkah-langkah implementasi

  1. Instal Agen AWS Systems Manager (SSMAgen) di EC2 instans Amazon Anda. Periksa untuk melihat apakah SSM Agen disertakan dan dimulai secara otomatis sebagai bagian dari AMI konfigurasi dasar Anda.

  2. Verifikasi bahwa IAM Peran yang terkait dengan profil EC2 instans Anda menyertakan IAMkebijakan AmazonSSMManagedInstanceCore terkelola.

  3. Nonaktifkan SSHRDP,, dan layanan akses jarak jauh lainnya yang berjalan pada instans Anda. Anda dapat melakukan ini dengan menjalankan skrip yang dikonfigurasi di bagian data pengguna dari templat peluncuran Anda atau dengan membangun yang disesuaikan AMIs dengan alat seperti EC2 Image Builder.

  4. Verifikasi bahwa aturan masuknya grup keamanan yang berlaku untuk EC2 instans Anda tidak mengizinkan akses pada port 22/tcp (SSH) atau port 3389/tcp (). RDP Implementasikan deteksi dan peringatan terkait grup keamanan yang salah konfigurasi dengan menggunakan layanan-layanan seperti AWS Config.

  5. Tentukan otomatisasi dan runbook yang sesuai, lalu jalankan perintah di Systems Manager. Gunakan IAM kebijakan untuk menentukan siapa yang dapat melakukan tindakan ini dan kondisi di mana mereka diizinkan. Uji otomatisasi ini secara menyeluruh di sebuah lingkungan non-produksi. Lakukan invokasi terhadap otomatisasi ini jika diperlukan, bukan mengakses instans secara interaktif.

  6. Gunakan AWS Systems Manager Session Manager untuk menyediakan akses interaktif ke instans bila diperlukan. Aktifkan pencatatan aktivitas sesi untuk mempertahankan jejak audit di Amazon CloudWatch Log atau Amazon S3. 

Sumber daya

Praktik-praktik terbaik terkait:

Contoh terkait:

Alat terkait:

Video terkait: