Asosiy xulosa
Avval har bir resursga masʼul tayinlang. Soʻng kirishni cheklang, maʼlumotni himoyalang, oʻzgarishlarni yozing va tiklashni sinang.
Hisoblar va shaxslarni boshqaring
Ishlab chiqarish, sinov va jurnal arxivlari uchun ishlatiladigan AWS hisoblarini roʻyxatlang, har biriga texnik masʼul tayinlang. Odamlarga markaziy shaxs boshqaruvi orqali kirish bering; imkoni boʻlsa ish yuklari uchun uzoq muddatli kalitlar oʻrniga IAM rollari va vaqtinchalik kirish maʼlumotlaridan foydalaning. Ruxsatlarni rol ehtiyojiga cheklang, imtiyozli kirish uchun koʻp omilli autentifikatsiyani talab qiling, ishlatilmaydigan foydalanuvchi, rol va kalitlarni koʻring. Root foydalanuvchini kundalik ishda ishlatmang.
Maʼlumot ochiqligi va resursga kirishni tekshiring
Maʼlumot maxfiyligi va ommaviy kirish asoslanganligini qayd eting. S3 uchun Block Public Access, bucket siyosatlari va Object Ownershipni tekshiring. Bucket owner enforced ACLlarni oʻchiradi; ACLlarni faqat yoqilganida tekshiring, bu koʻrik uchun yoqmang. Zarur istisnolarni hujjatlashtirib, maʼlumot egasi tasdigʻini oling. Maxfiy maʼlumot saqlash va uzatishda shifrlanganini tekshiring, kalitlarni kim ishlatishi va boshqarishini belgilang. Ilova sirlarini manba kodi oʻrniga tasdiqlangan sirlar boshqaruvi tizimida saqlang. Shifrlash va kalit siyosatini ayni xizmatga mos tanlang; bitta sozlama barcha AWS resurs xatarini bartaraf etmaydi.
Oʻzgarishlarni qayd eting va bazaviy holatni kuzating
CloudTrail orqali AWS API faoliyati jurnallarini rejalang va markaziy boshqariladigan arxivga yuboring; tekshiruvga kerak hodisa turlarini tanlang. Resurs sozlamalari va tasdiqlangan bazaviy holatdan ogʻishni qayd etish uchun AWS Config yoki teng nazoratdan foydalaning. Ogohlantirish masʼuli va eskalatsiya yoʻlini belgilang. Jurnalning oʻzi hodisani toʻxtatmaydi, shu sabab toʻliqlik, saqlash, qidirish va amaliy foydalanishni alohida tekshiring. Boshqaruv hodisalarini S3 obyektlarini oʻqish va yozish kabi tanlangan maʼlumot hodisalaridan ajrating. Trail va hodisa omborlari maʼlumot hodisalarini sukut boʻyicha qayd etmaydi; zarur resurs va amallar uchun hodisa selektorlarini tekshiring.
| Savol | Tekshiriladigan dalil | Yana nima tekshiriladi |
|---|---|---|
| Maʼmuriy oʻzgarish | Boshqaruv hodisasi qaydi | Hisob-hudud qamrovi va saqlash |
| Obyektni oʻqish/yozish | Tanlangan maʼlumot hodisasi qaydi | Hodisa selektori qamrovi |
| Sozlama ogʻishi | Sozlama tarixi yoki bazaviy holat topilmasi | Masʼul va bartaraf etish |
| Tiklash | Tiklash natijasi | Bogʻliqliklar va maqsadlarga nisbatan oʻlchangan tiklash natijalari |
Ish yuklari va tiklashni himoyalang
EC2 kabi IaaS resurslari uchun mijozning mehmon OT, ilova, tarmoq qoidalari va yamalar boʻyicha ishini belgilang. Aktivlarni topadigan va zaiflik maʼlumotini yangilab turadigan skanerni tanlang; topilmalarni masʼul va yama vaqtiga yoʻnaltiring, chunki skanerlash zaiflikni oʻzi tuzatmaydi. Muhitni koʻrib chiqilgan infratuzilma-kod andozalaridan yarating, oʻzgarishlarni koʻring, kutilmagan ochiq port, ommaviy saqlash, ortiqcha ruxsat va eskirgan paketlarni tekshiring. Asl manba va nusxalarga bir hodisa taʼsir qilish ehtimoli kam joyda zaxiralarni saqlang, tiklashni mashq qiling. Boshqariladigan xizmat masʼuliyati xizmatga qarab farqlanadi, hujjatini tekshiring.
Bardoshlilik va xavfsiz oʻzgarishni rejalang
Komponentlarni mavjudlik zonalariga taqsimlash ilova, bogʻliqlik va maʼlumot replikatsiyasi shunga moʻljallangandagina nosozlik taʼsirini kamaytirishi mumkin. Muhim xizmatlarning bogʻliqliklari, sogʻlomlik tekshiruvi va trafikni zaxiraga oʻtkazishni sinang, zaxiralarni alohida himoyalang. Zonalarga taqsimlash va replikatsiya izolyatsiyalangan tiklash nusxalari hamda sinalgan tiklash oʻrnini bosmaydi. Infratuzilma andozasi oʻzgarishlarini koʻring va ortga qaytish yoʻlini saqlang. Har bir xizmat va maʼlumot sinfi uchun tiklash maqsadlarini belgilang va mashqda tekshiring.