Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

SEC06-BP05 Automatizza la protezione dell'elaborazione

Automatizza le operazioni di protezione delle risorse di calcolo per ridurre la necessità di intervento umano. Usa la scansione automatica per rilevare potenziali problemi all'interno delle tue risorse di calcolo e rimedia con risposte programmatiche automatiche o operazioni di gestione del parco.  Incorpora l'automazione nei tuoi processi CI/CD per distribuire carichi di lavoro affidabili con dipendenze. up-to-date

Risultato desiderato: tutte le scansioni e le applicazioni di patch alle risorse di calcolo avvengono per mezzo di sistemi automatizzati. Utilizzate la verifica automatizzata per verificare che le immagini e le dipendenze del software provengano da fonti attendibili e non siano state manomesse. I carichi di lavoro vengono controllati automaticamente per individuare eventuali up-to-date dipendenze e firmati per stabilire l'affidabilità negli ambienti di elaborazione. AWS  Le correzioni automatiche vengono avviate al rilevamento di risorse non conformi. 

Anti-pattern comuni:

Vantaggi dell'adozione di questa best practice: riduzione del rischio di accessi alle risorse di calcolo e relativi utilizzi non autorizzati mediante l'automazione.  Contribuisce a evitare che le configurazioni errate si diffondano negli ambienti di produzione e a rilevare e correggere tali configurazioni nel caso in cui si verifichino.  L'automazione aiuta anche a rilevare l'accesso non autorizzato delle risorse di calcolo e il loro utilizzo, riducendo i tempi di risposta.  In questo modo è possibile ridurre la portata complessiva dell'impatto del problema.

Livello di rischio associato se questa best practice non fosse adottata: medio

Guida all'implementazione

È possibile applicare le automazioni descritte nelle pratiche del pilastro della sicurezza per proteggere le risorse di calcolo. SEC06-BP01 Perform vulnerability management descrive come utilizzare Amazon Inspector nelle pipeline CI/CD e per la scansione continua degli ambienti di runtime alla ricerca di vulnerabilità ed esposizioni comuni note (). CVEs  Puoi utilizzare AWS Systems Manager per applicare patch o eseguire nuove implementazioni da nuove immagini tramite runbook automatizzati in modo da mantenere il tuo parco di calcolo aggiornato con software e librerie più recenti.  Utilizza queste tecniche per ridurre la necessità di processi manuali e l'accesso interattivo alle tue risorse di elaborazione.  SECPer saperne di più, consulta 06-BP03 Riduci la gestione manuale e l'accesso interattivo.

L'automazione svolge anche un ruolo nell'implementazione di carichi di lavoro affidabili, come descritto in SEC06-BP02 Fornire elaborazione da immagini rafforzate e 06-BP04 Convalidare l'integrità del software. SEC  Puoi utilizzare servizi come EC2Image Builder e Amazon Elastic Container Registry (ECR) per scaricare, verificare, costruire e archiviare immagini e dipendenze di codice consolidate e approvate. AWS SignerAWS CodeArtifact   Oltre a Inspector, ognuno di questi sistemi può svolgere un ruolo nel processo CI/CD, in modo che il carico di lavoro passi alla produzione solo quando viene confermato che le sue dipendenze provengono da fonti attendibili. up-to-date  Il carico di lavoro è inoltre firmato in modo che gli ambienti di AWS calcolo, come AWS LambdaAmazon Elastic EKS Kubernetes Service (), possano verificare che non sia stato manomesso prima di consentirne l'esecuzione.

Oltre a questi controlli preventivi, è possibile utilizzare l'automazione nei controlli investigativi anche per le risorse di calcolo.  Ad esempio, AWS Security Huboffre lo standard NIST800-53 Rev. 5 che include controlli come [EC2.8] EC2. Le istanze devono utilizzare Instance Metadata Service Version 2 (). IMDSv2  IMDSv2utilizza le tecniche di autenticazione della sessione, bloccando le richieste che contengono un' X-Forwarded-ForHTTPintestazione e una rete TTL di 1 per interrompere il traffico proveniente da fonti esterne e recuperare informazioni sull'istanza. EC2 Questo Security Hub di check-in può rilevare quando EC2 le istanze vengono utilizzate IMDSv1 e avviare la riparazione automatica. Scopri di più sul rilevamento e sulle riparazioni automatiche in SEC04-BP04 Avvia la correzione per le risorse non conformi.

Passaggi dell'implementazione

Risorse

Best practice correlate:

Documenti correlati:

Video correlati: