Scansioni di conformità in AWS OpsWorks for Chef Automate

Se non è già stato fatto, accedere al pannello di controllo Web di Chef Automate. Utilizzare le credenziali ricevute al momento del download dello starter kit durante la creazione del server AWS OpsWorks for Chef Automate .

Nel pannello di controllo di Chef Automate, scegliere la scheda Asset Store (Store asset).

Scegliere la scheda Available (Disponibile) per vedere i profili predefiniti.

Esaminare l'elenco dei profili. Scegliere un profilo corrispondente al sistema operativo e alla configurazione di almeno uno dei nodi gestiti. Per visualizzare i dettagli sul profilo, inclusa una descrizione delle violazioni identificate e del codice delle regole sottostante del profilo, scegliere > a destra della voce del profilo. È possibile scegliere più profili. Se stai configurando l'esempio nello Starter Kit, scegli SSH Baseline. DevSec

Per installare i profili selezionati nel server Chef Automate, scegliere Get (Ottieni).

I profili una volta installati vengono visualizzati nella scheda Profiles (Profili) del pannello di controllo di Chef Automate.

Visualizzare Policyfile.rb nello starter kit per verificare che gli attributi per il libro di ricette Audit specifichino il profilo ssh-baseline in ['profiles'].

# Define audit cookbook attributes
default["opsworks-demo"]["audit"]["reporter"] = "chef-server-automate"
default["opsworks-demo"]["audit"]["profiles"] = [
  {
    "name": "DevSec SSH Baseline",
    "compliance": "admin/ssh-baseline"
  }
]

Scaricare e installare i libri di ricette definiti in Policyfile.rb.

chef install

La versione di tutti i libri di ricette è indicata nel file metadata.rb del libro di ricette. A ogni modifica di un libro di ricette, è necessario aumentare la versione del libro di ricette all'interno del file metadata.rb.

Eseguire il push della policy opsworks-demo, definita in Policyfile.rb, per il server.

chef push opsworks-demo

Verificare l'installazione della policy. Esegui il comando seguente.

chef show-policy

Il risultato deve essere simile al seguente:

opsworks-demo-webserver 
======================= 
* opsworks-demo:  ec0fe46314

Aggiungere i nodi al server da gestire, se non è già stato fatto. Per connettere il primo nodo al AWS OpsWorks for Chef Automate server, utilizzate lo userdata.sh script incluso in questo Starter Kit. Utilizza l' AWS OpsWorks AssociateNodeAPI per connettere un nodo al tuo server.

È possibile automatizzare l'associazione di nodi completando la procedura in Aggiungi nodi automaticamente in AWS OpsWorks for Chef Automate o aggiungendo un nodo alla volta completando la procedura in Aggiungi nodi singolarmente.

Dopo aver aggiornato l'elenco di esecuzione per i nodi, l'agente chef-client esegue le ricette specificate alla successiva esecuzione. Per impostazione predefinita, l'esecuzione avviene ogni 1800 secondi (30 minuti). Dopo l'esecuzione, è possibile visualizzare e intraprendere azioni sui risultati di conformità dalla scheda Compliance (Conformità) nel pannello di controllo di Chef Automate.

In un editor di testo, accodare il libro di ricette ssh-hardening all'elenco di esecuzioni di Policyfile.rb. L'elenco di esecuzioni di Policyfile.rb deve corrispondere a quanto riportato di seguito.

run_list  'chef-client', 'opsworks-webserver', 'audit', 'ssh-hardening'

Aggiornare Policyfile.rb ed eseguirne il push al server AWS OpsWorks for Chef Automate .

chef update Policyfile.rb
   chef push opsworks-demo

I nodi che sono associati alla policy opsworks-demo aggiornano automaticamente l'elenco di esecuzioni e applicano il libro di ricette ssh-hardening alla successiva esecuzione di chef-client.

Poiché si utilizza il libro di ricette chef-client, il nodo esegue l'archiviazione a intervalli regolari (30 minuti per impostazione predefinita). Al check-in successivo, il ssh-hardening ricettario viene eseguito e aiuta a migliorare la sicurezza dei nodi per soddisfare le regole del DevSec profilo SSH Baseline.

Dopo l'esecuzione iniziale del libro di ricette ssh-hardening, attendere 30 minuti per una nuova esecuzione di una scansione di conformità. Visualizzare i risultati nel pannello di controllo di Chef Automate. I risultati non conformi che si sono verificati nell'esecuzione iniziale della scansione DevSec SSH Baseline devono essere risolti.

Se non è già stato fatto, accedere al pannello di controllo Web di Chef Automate. Utilizza le credenziali che hai ricevuto quando hai scaricato lo Starter Kit durante la creazione del server. AWS OpsWorks for Chef Automate

Nel pannello di controllo di Chef Automate scegliere la scheda Compliance.

Sulla barra di navigazione a sinistra scegliere Profile Store (Store profili)e quindi scegliere la scheda Available (Disponibili) per visualizzare i profili predefiniti.

Esaminare l'elenco dei profili. Scegliere un profilo corrispondente al sistema operativo e alla configurazione di almeno uno dei nodi gestiti. Per visualizzare i dettagli sul profilo, inclusa una descrizione delle violazioni identificate e del codice delle regole sottostante del profilo, scegliere > a destra della voce del profilo. È possibile scegliere più profili.

Per installare i profili selezionati nel server Chef Automate, scegliere Get (Ottieni).

Al termine del download, passare alla procedura seguente.

Questa fase è facoltativa, ma permette di risparmiare tempo nella fase 6, quando verranno aggiunte ricette a elenchi di esecuzione dei nodi. Modificare il file roles/opsworks-example-role.rb incluso nello starter kit scaricato al momento del download durante la creazione del server AWS OpsWorks for Chef Automate . Aggiungere le righe seguenti. L'ultima riga è impostata come commento, perché l'aggiunta del libro di ricette e della ricetta ssh-hardening per risolvere nodi non conformi dopo l'esecuzione delle scansioni Compliance è facoltativa.

run_list(
     "recipe[chef-client]",
     "recipe[apache2]",
     "recipe[opsworks-audit]"
     # "recipe[ssh-hardening]"
       )

Utilizzare un editor di testo per specificare i libri di ricette desiderati nel file Berksfile. Un file Berksfile di esempio è incluso nello starter kit. In questo esempio vengono installati i libri di ricette chef-client, apache2 e opsworks-audit del client Chef Infra. Il file Berksfile dovrebbe essere simile al seguente.

source 'https://supermarket.chef.io
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0'

La versione di tutti i libri di ricette è indicata nel file metadata.rb del libro di ricette. A ogni modifica di un libro di ricette, è necessario aumentare la versione del libro di ricette all'interno del file metadata.rb.

Eseguire il comando seguente per scaricare e installare il libro di ricette nella cartella cookbooks nel computer locale o in uso.

berks vendor cookbooks

Eseguire il comando seguente per caricare i libri di ricette gestiti da un fornitore nel server AWS OpsWorks for Chef Automate .

knife upload .

Eseguire il comando seguente per verificare l'installazione del libro di ricette opsworks-audit visualizzando un elenco di libri di ricette attualmente disponibili nel server.

knife cookbook list

Aggiungere i nodi al server da gestire, se non è già stato fatto. È possibile automatizzare l'associazione di nodi completando la procedura in Aggiungi nodi automaticamente in AWS OpsWorks for Chef Automate o aggiungendo un nodo alla volta completando la procedura in Aggiungi nodi singolarmente. Modificare l'elenco di esecuzione dei nodi in modo da aggiungere il ruolo specificato nella fase 1, ovvero opsworks-example-role. In questo esempio viene modificato l'attributo RUN_LIST nello script userdata usato per automatizzare l'associazione di nodi.

RUN_LIST="role[opsworks-example-role]"

Se la fase 1 non è stata eseguita e non è stato configurato il ruolo, aggiungere i nomi delle singole ricette all'elenco di esecuzione. Salva le modifiche e segui i passaggi Fase 3. Creare istanze tramite uno script di associazione automatica per applicare lo script userdata alle istanze Amazon EC2.

RUN_LIST="recipe[chef-client],recipe[apache2],recipe[opworks-audit]"

Dopo aver aggiornato l'elenco di esecuzione per i nodi, l'agente chef-client esegue le ricette specificate alla successiva esecuzione. Per impostazione predefinita, l'esecuzione avviene ogni 1800 secondi (30 minuti). Dopo l'esecuzione, i risultati di Compliance sono visibili nel pannello di controllo di Chef Automate.

In un editor di testo aggiungere il libro di ricette ssh-hardening al file Berksfile. Il file Berksfile dovrebbe essere simile al seguente.

source 'https://supermarket.chef.io'
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0' # optional
     cookbook 'ssh-hardening'

Eseguire i comandi seguenti per scaricare il libro di ricette ssh-hardening nella cartella dei libri di ricette locale e quindi caricarlo nel server AWS OpsWorks for Chef Automate .

berks vendor cookbooks
knife upload .

Aggiungere la ricetta ssh-hardening all'elenco di esecuzione dei nodi come descritto nelle fasi 1 e 6 di Per installare e configurare il libro di ricette opsworks-audit.

Se il file opsworks-example-role.rb viene aggiornato, caricare le modifiche nel server eseguendo il comando seguente.

knife upload .

Se si aggiorna direttamente l'elenco di esecuzione, caricare le modifiche eseguendo il comando seguente. Il nome del nodo è in genere l'ID istanza.

knife node run_list add <node name> 'recipe[ssh-hardening]'

Poiché si utilizza il libro di ricette chef-client, il nodo esegue l'archiviazione a intervalli regolari (30 minuti per impostazione predefinita). Al check-in successivo, il ssh-hardening ricettario viene eseguito e aiuta a migliorare la sicurezza dei nodi per soddisfare le regole del DevSec profilo SSH Baseline.

Dopo l'esecuzione iniziale del libro di ricette ssh-hardening, attendere 30 minuti per una nuova esecuzione di una scansione Compliance. Visualizzare i risultati nel pannello di controllo di Chef Automate. I risultati non conformi che si sono verificati nell'esecuzione iniziale della scansione DevSec SSH Baseline devono essere risolti.