컴플라이언스 스캔 입력 AWS OpsWorks for Chef Automate

아직 시작하지 않은 경우 Chef Automate 웹 기반 대시보드에 로그인합니다. AWS OpsWorks for Chef Automate 서버를 생성하면서 스타터 키트를 다운로드할 때 받은 자격 증명을 사용합니다.

Chef Automate 대시보드에서 자산 스토어 탭을 선택합니다.

사용 가능 탭을 선택하여 사전 정의된 프로필을 봅니다.

프로필 목록을 찾아봅니다. 하나 이상의 관리형 노드의 운영 체제 및 구성과 일치하는 프로필을 선택합니다. 프로필의 대상 위반 및 기본 규칙 코드에 대한 설명을 포함하여 프로필에 대한 세부 정보를 보려면 프로필 항목의 오른쪽에 있는 [>]를 선택합니다. 여러 프로필을 선택할 수 있습니다. 스타터 키트에서 예제를 설정하는 경우 SSH 베이스라인을 선택하십시오. DevSec

Chef Automate 서버에 선택한 프로필을 설치하려면 [가져오기]를 선택합니다.

프로필을 설치한 후에는 Chef Automate 대시보드의 프로필 탭에 프로필이 표시됩니다.

스타터 키트에서 Policyfile.rb를 보고 Audit 쿡북에 대한 속성이 ['profiles']에서 ssh-baseline 프로필을 지정하는지 확인합니다.

# Define audit cookbook attributes
default["opsworks-demo"]["audit"]["reporter"] = "chef-server-automate"
default["opsworks-demo"]["audit"]["profiles"] = [
  {
    "name": "DevSec SSH Baseline",
    "compliance": "admin/ssh-baseline"
  }
]

Policyfile.rb에 정의된 쿡북을 다운로드하고 설치합니다.

chef install

모든 쿡북은 쿡북의 metadata.rb 파일에 버전이 지정되어 있습니다. 쿡북을 변경할 때마다 쿡북의 metadata.rb에 있는 쿡북 버전을 올려야 합니다.

Policyfile.rb에 정의된 opsworks-demo 정책을 서버에 푸시합니다.

chef push opsworks-demo

정책 설치를 확인합니다. 다음 명령을 실행합니다.

chef show-policy

결과는 다음과 비슷해야 합니다.

opsworks-demo-webserver 
======================= 
* opsworks-demo:  ec0fe46314

관리할 서버에 노드를 추가하지 않았으면 추가합니다. 첫 번째 노드를 AWS OpsWorks for Chef Automate 서버에 연결하려면 이 스타터 키트에 포함된 userdata.sh 스크립트를 사용하십시오. AWS OpsWorks AssociateNodeAPI를 사용하여 노드를 서버에 연결합니다.

노드를 자동으로 추가합니다. AWS OpsWorks for Chef Automate의 단계를 수행하여 노드 연결을 자동화하거나, 노드를 개별적으로 추가의 단계를 수행하여 한 번에 한 개의 노드를 추가할 수 있습니다.

노드의 실행 목록을 업데이트하면 다음 실행 시 chef-client 에이전트가 지정된 레시피를 실행합니다. 이 작업은 기본적으로 1800초(30분)마다 수행됩니다. 실행 후 Chef Automate 대시보드의 규정 준수 탭에서 규정 준수 결과를 보고 조치를 취할 수 있습니다.

텍스트 편집기에서 ssh-hardening 쿡북을 Policyfile.rb의 실행 목록에 추가합니다. Policyfile.rb 실행 목록은 다음과 일치해야 합니다.

run_list  'chef-client', 'opsworks-webserver', 'audit', 'ssh-hardening'

Policyfile.rb를 업데이트하고 AWS OpsWorks for Chef Automate 서버에 푸시합니다.

chef update Policyfile.rb
   chef push opsworks-demo

opsworks-demo 정책과 관련된 노드가 실행 목록을 자동으로 업데이트하고 다음 번 chef-client 실행 시 ssh-hardening 쿡북을 적용합니다.

chef-client 쿡북을 사용하기 때문에 노드는 정기적으로(기본 30분 간격) 체크인됩니다. 다음 체크인 시 ssh-hardening 쿡북이 실행되며 DevSec SSH Baseline 프로필의 규칙을 충족하도록 노드 보안을 개선하는 데 도움이 됩니다.

ssh-hardening 쿡북을 처음 실행한 후 규정 준수 검사가 다시 실행될 때까지 30분 정도 기다립니다. Chef Automate 대시보드에서 결과를 확인합니다. DevSec SSH 베이스라인 스캔의 초기 실행 시 발생한 비준수 결과를 해결해야 합니다.

아직 시작하지 않은 경우 Chef Automate 웹 기반 대시보드에 로그인합니다. 서버를 생성할 때 스타터 키트를 다운로드할 때 받은 자격 증명을 사용하십시오. AWS OpsWorks for Chef Automate

Chef Automate 대시보드에서 [규정 준수] 탭을 선택합니다.

왼쪽 탐색 모음에서 [프로필 스토어]를 선택한 다음 [사용 가능]을 선택하여 사전 정의된 프로필을 확인합니다.

프로필 목록을 찾아봅니다. 하나 이상의 관리형 노드의 운영 체제 및 구성과 일치하는 프로필을 선택합니다. 프로필의 대상 위반 및 기본 규칙 코드에 대한 설명을 포함하여 프로필에 대한 세부 정보를 보려면 프로필 항목의 오른쪽에 있는 [>]를 선택합니다. 여러 프로필을 선택할 수 있습니다.

Chef Automate 서버에 선택한 프로필을 설치하려면 [가져오기]를 선택합니다.

다운로드가 완료되면 다음 절차로 이동합니다.

이 단계는 선택 사항이지만, 6단계에서 노드 실행 목록에 레시피를 추가할 때 시간을 절약할 수 있습니다. AWS OpsWorks for Chef Automate 서버를 생성할 때 다운로드한 스타터 키트에 포함된 roles/opsworks-example-role.rb 파일을 편집합니다. 다음 행을 추가합니다. ssh-hardening 쿡북과 레시피를 추가하여 규정 준수 검사 실행 후 규정 미준수 노드를 해결하는 것은 선택 사항이기 때문에 마지막 행은 주석 처리되어 있습니다.

run_list(
     "recipe[chef-client]",
     "recipe[apache2]",
     "recipe[opsworks-audit]"
     # "recipe[ssh-hardening]"
       )

텍스트 편집기를 사용하여 원하는 쿡북을 Berksfile에 지정합니다. 스타터 키트에는 샘플 Berksfile이 제공됩니다. 이 예제에서는 Chef Infra 클라이언트(chef-client) 쿡북, apache2 쿡북, opsworks-audit 쿡북을 설치합니다. Berksfile은 다음과 유사합니다.

source 'https://supermarket.chef.io
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0'

모든 쿡북은 쿡북의 metadata.rb 파일에 버전이 지정되어 있습니다. 쿡북을 변경할 때마다 쿡북의 metadata.rb에 있는 쿡북 버전을 올려야 합니다.

다음 명령을 실행하여 쿡북을 로컬 컴퓨터나 작업 컴퓨터의 cookbooks 폴더로 다운로드하고 설치합니다.

berks vendor cookbooks

다음 명령을 실행하여 벤더 쿡북을 AWS OpsWorks for Chef Automate 서버로 업로드합니다.

knife upload .

다음 명령을 실행하여 서버에서 현재 사용 가능한 쿡북 목록을 조회함으로써 opsworks-audit 쿡북의 설치를 확인합니다.

knife cookbook list

관리할 서버에 노드를 추가하지 않았으면 추가합니다. 노드를 자동으로 추가합니다. AWS OpsWorks for Chef Automate의 단계를 수행하여 노드 연결을 자동화하거나, 노드를 개별적으로 추가의 단계를 수행하여 한 번에 한 개의 노드를 추가할 수 있습니다. 노드의 실행 목록을 편집하여 1단계에서 지정한 opsworks-example-role 역할을 추가합니다. 이 예제에서는 RUN_LIST 스크립트에서 userdata 속성을 편집하여 노드 연결을 자동화합니다.

RUN_LIST="role[opsworks-example-role]"

1단계를 건너뛰고 역할을 설정하지 않은 경우 실행 목록에 개별 레시피 이름을 추가합니다. 변경 사항을 저장하고 3단계: 무인 연결 스크립트를 사용하여 인스턴스 생성의 단계를 따라 userdata 스크립트를 Amazon EC2 인스턴스에 적용합니다.

RUN_LIST="recipe[chef-client],recipe[apache2],recipe[opworks-audit]"

노드의 실행 목록을 업데이트하면 다음 실행 시 chef-client 에이전트가 지정된 레시피를 실행합니다. 이 작업은 기본적으로 1800초(30분)마다 수행됩니다. 실행 후 Chef Automate 대시보드에 규정 준수 결과가 표시됩니다.

텍스트 편집기에서 ssh-hardening 쿡북을 Berksfile에 추가합니다. Berksfile은 다음과 유사합니다.

source 'https://supermarket.chef.io'
     cookbook 'chef-client'
     cookbook 'apache2', '~> 5.0.1'
     cookbook 'opsworks-audit', path: 'cookbooks/opsworks-audit', '~> 1.0.0' # optional
     cookbook 'ssh-hardening'

다음 명령을 실행하여 ssh-hardening 쿡북을 로컬 쿡북 폴더로 다운로드한 후 AWS OpsWorks for Chef Automate 서버에 업로드합니다.

berks vendor cookbooks
knife upload .

ssh-hardening의 1단계와 6단계에서 설명한 대로 opsworks-audit 쿡북을 설치하고 설정하려면 레시피를 노드 실행 목록에 추가합니다.

opsworks-example-role.rb 파일을 업데이트하는 경우 다음 명령을 실행하여 변경 사항을 서버에 업로드합니다.

knife upload .

실행 목록을 직접 업데이트하는 경우 다음 명령을 실행하여 변경 사항을 업로드합니다. 노드 이름은 일반적으로 인스턴스 ID입니다.

knife node run_list add <node name> 'recipe[ssh-hardening]'

chef-client 쿡북을 사용하기 때문에 노드는 정기적으로(기본 30분 간격) 체크인됩니다. 다음 체크인 시 ssh-hardening 쿡북이 실행되며 DevSec SSH Baseline 프로필의 규칙을 충족하도록 노드 보안을 개선하는 데 도움이 됩니다.

ssh-hardening 쿡북을 처음 실행한 경우 규정 준수 검사 실행을 위해 30분 기다리십시오. Chef Automate 대시보드에서 결과를 확인합니다. DevSec SSH 베이스라인 스캔의 초기 실행 시 발생한 비준수 결과를 해결해야 합니다.