Saluran pengisian semula awan Amazon: AWS Security Hub mengimbas kelemahan pematuhan berisiko tinggi? Panduan Pembaikan Item Pematuhan Keselamatan Biasa
Sebagai orang yang bertanggungjawab dalam operasi dan penyelenggaraan yang berurusan dengan seni bina awan dan keselamatan sistem setiap hari, salah satu saat yang paling menakutkan adalah membuka konsol pada awal pagi dan melihat
Hub Keselamatan AWS
Merah muncul di antara muka
CRITICAL (Kecemasan)
Atau
TINGGI (Risiko Tinggi)
Penggera.
Dalam sistem pengawasan pematuhan korporat semasa, sama ada PCI-DSS, CIS AWS Foundations Benchmark, atau CIS Controls,Security Hub seperti "pemeriksa di awan" yang ketat. Ia akan mengimbas semua sumber AWS anda sepanjang masa, dan apabila didapati bahawa terdapat konfigurasi yang tidak memenuhi amalan keselamatan terbaik, ia akan segera dilabel sebagai kerentanan pematuhan.
Kerentanan berisiko tinggi ini tidak hanya akan mendedahkan syarikat kepada risiko kegagalan audit, tetapi juga meninggalkan pintu belakang untuk kebocoran data, serangan ransomware atau penggunaan berbahaya.
Artikel ini akan menggunakan perspektif operasi dan penyelenggaraan sebenar untuk anda menyusun imbasan Keselamatan Hub
Empat kelemahan pematuhan biasa berisiko tinggi
, Berikan panduan pembaikan tangan-ke-tanah, dan bincangkan garis pertahanan dana yang mendasari (termasuk
Mengecas akaun AWS
Strategi).
1. Memahami standard dan penilaian risiko Keselamatan Hub
Sebelum melakukan pembaikan, kita perlu mengetahui bagaimana Hub Keselamatan melakukan penilaian pematuhan.
Keselamatan Hub terutamanya melakukan pemeriksaan automatik berdasarkan jenis piawaian keselamatan berikut:
Amalan Terbaik Keselamatan Yayasan AWS (FSBP): Amalan terbaik keselamatan yang disyorkan secara rasmi oleh AWS.
CIS AWS Foundations Benchmark: Piawaian asas keselamatan AWS yang biasa digunakan oleh industri.
PCI-DSS / NIST / HIPAA: Piawaian pematuhan untuk industri tertentu (seperti pembayaran kewangan, perubatan, dll.).
Selepas setiap pengesanan peraturan pematuhan gagal, Hub Keselamatan membahagikan tahap risiko berdasarkan potensi kesan kerentanan:
Kritikal (Kecemasan), Tinggi (Tinggi), Medium (Tengah), Rendah (Rendah)
。
[Konsol Pemantauan Hub Keselamatan AWS]
│
├─ ► [Cari kerentanan Critical/High]
│ │
│ ├─ ► Pendedahan akses bersama S3 Bucket
│ ├─ ► IAM Root / Admin kekurangan MFA
│
├─ ► Kumpulan keselamatan pelepasan port berisiko tinggi 0.0.0.0/0
│ └ ─ ► Audit CloudTrail / VPC Flow Logs tidak dibuka
│
└ ─ ► [Menjalankan penyelidikan mendalam dan pembaikan automatik]
2. 4 kelemahan pematuhan berisiko tinggi dan panduan pembaikan langsung
Menurut pengalaman audit keselamatan AWS sebilangan besar syarikat, empat jenis kelemahan berikut sering berlaku di Security Hub, dan kebanyakannya ditandai sebagai
TINGGI
Atau
CRITICAL
。
1. Baldi S3 membuka kebenaran membaca/menulis awam (S3.2 / S3.3)
Penarafan Risiko: CRITICAL / HIGH
Huraian kerentanan: Tong simpanan S3 tidak menghidupkan "Blok Akses Awam" (Blok Akses Awam), atau Bucket Policy / ACL membenarkan: "*" dibaca atau ditulis. Punca pelanggaran data sensitif korporat yang tidak terkira banyaknya terletak pada ini.
Langkah pembaikan:
Kaedah A: Buka tahap baldi "menyekat akses awam"
Buka konsol AWS S3 dan cari Bucket yang ditandakan.
Klik pada halaman tab Permissions (kebenaran).
Klik pada Edit di kawasan akses awam Blok.
Periksa akses awam Blok, klik Simpan dan masukkan perintah pengesahan.
Kaedah B: Gunakan pembaikan satu klik AWS CLI
Bash
Aws s3api put-awam-akses-blok \
-- Bucket <nama baldi anda> \
-- Public-access-block-configuration "BlockPublicAcls = benar, IgnorePublicAcls = benar, BlockPublicPolicy = benar, Rectrict PublicBuckets = benar"
Cadangan operasi dan penyelenggaraan: Disarankan untuk membuka Blok Public Access secara langsung di peringkat akaun AWS Account / Organizations untuk mengelakkan pembangun membuat tong S3 awam secara tidak sengaja.
2. Akaun root IAM (Root User) tidak mengaktifkan MFA atau menggunakan akaun root untuk operasi harian (IAM.1 / IAM.6)
Penarafan Risiko: CRITICAL
Penerangan kerentanan: R akaun AWS
Pengguna oot mempunyai kuasa tertinggi. Setelah kata laluan bocor dan tidak ada perlindungan pengesahan pelbagai faktor (MFA), penyerang dapat dengan serta-merta mengambil alih keseluruhan akaun AWS dan bahkan memusnahkan semua data.
Langkah pembaikan:
Ikat MFA untuk akaun Root: log masuk ke akaun AWS Root dan masukkan konsol IAM. Klik Dashboard di sebelah kiri untuk mencari Root user MFA dalam keselamatan. Klik Tambah MFA, disyorkan untuk memilih peranti MFA Maya (seperti Aplikasi Authenticator) atau kunci keselamatan perkakasan FIDO.
Kunci akaun Root dan matikan Kunci Akses: Periksa sama ada akaun Root telah mencipta Kunci Kunci Akses/Kunci Rahsia. Jika ada, segera Delete. Akaun Root hanya disimpan dalam beberapa senario pengurusan kecemasan (seperti menukar kaedah pembayaran, membatalkan akaun), dan operasi dan penyelenggaraan harian mesti dibenarkan melalui Pusat Identiti IAM (SSO) atau IAM Roles.
3. Pasukan keselamatan melepaskan akses port berisiko tinggi 0.0.0.0/0 (EC2.2 / EC2.19)
Tahap risiko: TINGGI
Huraian kerentanan: Memetakan 0.0.0.0/0 (keseluruhan rangkaian terbuka) ke port pengurusan sensitif dalam peraturan masuk, seperti TCP 22 (SSH), TCP 3389 (RDP) atau port pangkalan data TCP 3306 (MySQL), TCP 5432 (PostgreSQL)).
Langkah pembaikan:
Buka konsol EC2-> Kumpulan Keselamatan, cari ID kumpulan keselamatan yang disebut dalam penggera Keselamatan Hub.
Edit peraturan Inbound (peraturan masuk): hapus peraturan 22/3389 dengan Sumber 0.0.0.0/0. Ubahsuai Sumber port pengurusan ke segmen rangkaian awam eksport tetap IP /232 atau VPN syarikat. Untuk port pangkalan data, Sumber diubah untuk hanya membenarkan sambungan lalu lintas dari kumpulan keselamatan lapisan web/aplikasi (menggunakan rujukan bersarang ID Kumpulan Keselamatan).
Amalan terbaik: Tinggalkan log masuk SSH rangkaian awam langsung ke EC2, dan beralih sepenuhnya ke AWS Systems Manager (SSM) Session Manager. SSM dapat menyambung ke pelayan dengan selamat tanpa membuka port 22 dan tidak memerlukan IP rangkaian awam.
4. CloudTrail tidak membuka log audit global (CloudTrail.1 / CloudTrail.2
)
Kadar risiko: TINGGI
Penerangan kerentanan: CloudTrail tidak mengkonfigurasi rekod log semua wilayah (Multi-region rail), atau tidak membuka Pengesahan Integriti Fail Log (Pengesahan Integriti Fail). Ini bermaksud bahawa penceroboh tidak akan dapat menyimpan jejak log ketika melakukan operasi jahat di kawasan yang tidak diaktifkan.
Langkah pembaikan:
Pergi ke konsol CloudTrail dan klik Trails -> Buat jejak.
Isi nama Trail dan tandakan Enable for all regions (aktifkan untuk semua kawasan).
Dalam lokasi penyimpanan, konfigurasi menghantar log ke baldi S3 yang disulitkan.
Periksa pengesahan fail log (pengesahan fail log) untuk memastikan bahawa log tersebut tidak diubah.
Aktifkan penyulitan tambahan KMS untuk memastikan keselamatan penyimpanan log.
3. "Garis pertahanan yang mendasari" keselamatan awan dan operasi infrastruktur: dana akaun dan pematuhan
Dalam operasi dan penyelenggaraan keselamatan harian, banyak juruteknik menumpukan 100% tenaga mereka pada kerentanan kod, kumpulan keselamatan rangkaian dan kawalan pihak berkuasa IAM, tetapi mereka sering mengabaikan bahaya tersembunyi yang sama mematikan tetapi sering tersembunyi di luar teknologi --
Risiko gangguan perkhidmatan awan disebabkan oleh kegagalan kelayakan akaun AWS atau pemotongan dana
。
Anggaplah senario seperti itu: Anda baru sahaja menyelesaikan satu set lengkap tadbir urus pematuhan Keselamatan Hub, tetapi kerana kaedah pembayaran yang tidak sah yang terikat pada akaun AWS atau had kad kredit yang tidak mencukupi, akaun tersebut mengalami tunggakan (Overdue).
Apa yang berlaku apabila akaun AWS dihentikan atau dibatasi kerana tunggakan?
Penurunan perkhidmatan keselamatan dan pemotongan log: Dalam keadaan tunggakan, beberapa perkhidmatan keselamatan yang bergantung pada penjadualan dinamik (seperti pengesanan ancaman Guardian, penghantaran log masa nyata CloudTrail, dan pengesanan automatik Hub Keselamatan) mungkin mempunyai log kerana akses API yang terhad Kelewatan atau jeda, mengakibatkan masa kosong untuk pemantauan keselamatan.
Skrip pembaikan automatik gagal: Sekiranya pasukan anda menggunakan proses pembaikan automatik (Auto-Remediation) berdasarkan EventBridge Lambda, perkhidmatan akaun yang terhad secara langsung boleh menyebabkan kegagalan pelaksanaan Lambda, dan kerentanan tidak dapat disekat ketika pertama.
Penggunaan pertahanan yang berniat jahat menurun: Akaun dalam keadaan tidak normal lebih cenderung diserang oleh penggodam yang menggunakan saluran pengeluaran hitam. Sekiranya penggodam menggunakan celah untuk menambang crypto-Mining secara haram di dalam akaun anda, bil besar yang dihasilkan dalam sekelip mata boleh menyebabkan risiko akaun Lebih teruk lagi.
Dana AWS syarikat dan strategi jaminan pertahanan:
Membina amaran bil AWS yang lengkap (AWS Budget
S): Konfigurasikan amaran anggaran di Cost Management. Apabila penggunaan mencapai 50%, 80% dan 100% yang diharapkan, hantarkan pemberitahuan e-mel dan Dingding/Feishu melalui SNS.
Saluran pengisian semula dan pembayaran peringkat perusahaan yang tidak disekat: Untuk syarikat luar negara atau laman web multinasional yang besar, terdapat risiko besar hanya bergantung pada kad kredit peribadi pekerja untuk mengikat akaun AWS (seperti kadaluarsa kad, ditahan oleh kad kawalan risiko bank, dll.). Syarikat harus mewujudkan mekanisme pengisian semula akaun AWS yang formal dan berterusan, seperti mengisi semula dan menyelesaikan penyelesaian awam-ke-awam melalui rakan kongsi AWS yang diiktiraf secara rasmi (AWS Partner), atau memohon tempoh penagihan AWS Enterprise Agreement(EA Agreement). Secara asasnya menghilangkan risiko perkhidmatan awan yang disebabkan oleh gangguan dana.
Pisahkan akaun pengurusan dan akaun perniagaan: Dengan bantuan Organisasi AWS, akaun pembayaran utama (Akaun Pengurusan) dipisahkan dari akaun keselamatan/Pengeluaran yang menjalankan perniagaan tertentu. Akaun utama hanya bertanggungjawab untuk penggabungan dan penagihan dan penyelesaian penyatuan semula akaun AWS. Mengasingkan risiko modal ke persekitaran keselamatan perniagaan.
4. Ringkasan dan Tadbir Urus Keselamatan Checklist
AWS Security Hub bukan alat satu kali, tetapi sistem pemantauan berterusan. Dalam menghadapi peringatan berisiko tinggi yang sering disegarkan, pasukan operasi dan penyelenggaraan harus mewujudkan mekanisme gelung tertutup "penyiasatan-pembaikan-pengesahan-pencegahan automatik".
Akhirnya, ringkaskan senarai pemeriksaan pematuhan harian/mingguan untuk anda:
Item pemeriksaan
Keperluan sasaran
Betulkan keutamaan
Akses baldi S3
Buka Akaun Penuh Blok Akses Awam
P0 (kecemasan)
** Perlindungan akaun Root **
Hidupkan MFA, Lumpuhkan Access Key
P0 (kecemasan)
Pelabuhan berisiko tinggi kumpulan keselamatan
Sekat pembukaan 0.0.0.0/0 hingga 22/3389
P1 (tinggi)
Audit dan pemantauan
Buka log seluruh wilayah CloudTrail dan penyulitan KMS
P1 (tinggi)
Pematuhan dana dan perkhidmatan
Tetapkan penggera bil untuk memastikan kelancaran saluran pengisian semula akaun AWS
P1 (tinggi)
Tidak ada perkara kecil mengenai keselamatan di awan. Mendapatkan pematuhan keselamatan bukan sahaja bertanggungjawab terhadap aset data korporat, tetapi juga tonggak untuk memastikan operasi perniagaan yang stabil, berterusan dan cekap pada skala global!
