Asosiy xulosa
Avval aktiv va masʼullarni aniqlang, soʻng IAM, tarmoq, saqlash va oʻzgartirish jarayonlarini xatarga koʻra koʻring.
Kuzatuv va hisob boshqaruvini yoʻlga qoʻying
Ishlab chiqarish, sinov va yordamchi AWS hisoblari, hudud, resurs turi va javobgar egalarni bir joyda roʻyxatlang. Hisob va resurs qanday yaratilishini belgilang, ishlatilmaydigan hisob va tashlab ketilgan resursni muntazam koʻring. CloudTrail hodisalarini markazlashtirib, har topilmaga masʼul tayinlang. AWS Config qaydi va qoida baholashi har bir notoʻgʻri sozlamani oldindan bloklamaydi. S3 obyekt faoliyati kabi CloudTrail maʼlumot hodisalari aniq tanlashni talab qiladi.
| Nazorat | Qaysi savolga javob beradi | Tekshiriladigan qamrov |
|---|---|---|
| AWS Config | Resurs sozlamasi va baholangan qoidalar | Qoʻllanadigan resurs turi, qayd vositasi, hisoblar va hududlar |
| CloudTrail | API va hisob faoliyati | Tanlangan hodisa turlari, traillar yoki hodisa omborlari, saqlash, hisoblar va hududlar |
| IAM va tarmoq nazoratlari | Kim harakat qilishi va qaysi trafik oʻtishi mumkin | Amaldagi siyosat, rollar va aniq tarmoq qoidalari |
IAM va tarmoq ruxsatlarini toraytiring
Odamlar uchun federativ kirish va talab qilingan MFA, ish yuklari uchun mos rol va qisqa muddatli kirish maʼlumotini qoʻllang. Uzoq muddatli kirish kalitidan saqlaning; qolganlarining masʼuli, ishlatilishi va almashtirish ehtiyojini koʻring. Siyosatni har vazifaga zarur amal va resursga cheklang. Xavfsizlik guruhlari va tarmoq ACLlarida boshqaruv portlariga internet kirishini bloklang; zarur istisnolarni tor manba va tugash chegarasi bilan yozing.
Maʼlumot ochiqligi va shifrlashni baholang
S3da avval Object Ownershipni tekshiring: yangi bucketlarda ACLlar sukut boʻyicha oʻchirilgan, ularni faqat yoqilgan joyda koʻring. Public Access Block va bucket siyosatini tekshiring; ommaviy oʻqish yuklash yoki yozishga ruxsat bermaydi. Ommaviy kirishni faqat maʼlumot egasi nazoratidagi tasdiqlangan biznes maqsadi uchun saqlang. Yangi S3 obyekt yuklamalari sukut server shifrlashini oladi; baribir talab qilingan shifrlash va kalit siyosati, eski maʼlumot, kirish va uzatish himoyasini tekshiring. Kalit vazifalarini ajrating va aylantirishni xizmat talabiga moslang. Holat nusxalari, jurnal va zaxiralarga bir xil kirish va saqlash qoidalarini qoʻllang.
Oʻzgarishni koʻring va tuzatishni tekshiring
Infratuzilma-kodga xavfsizlik tekshiruvini qoʻshing, koʻrik va oʻzgarish tasdigʻini saqlang, imkoni boʻlsa sozlamani tasdiqlangan bazaviy holat bilan solishtiring. Topilmalarni jiddiylik, internetga ochiqlik, maʼlumot maxfiyligi va foydalanish ehtimoliga koʻra ustuvorlashtiring. Avtomatik tuzatishni avval izolyatsiyalangan sinov hisobida sinang; ishlab chiqarishdagi taʼsirni tasdiqlab, natijani yozing. Skaner muammoni topadi, ammo tuzatish alohida tekshirilishi kerak.
Joriy etish zanjiri va umumiy sozlamalarni himoyalang
EC2 xavfsizlik guruhlaridagi kutilmagan ochiq portlar, S3dagi ruxsatsiz ommaviy oʻqish, IAM Action/Resource keng ruxsatlari va nusxa metamaʼlumot xizmatiga yoʻllarni qidiring. CI/CD yigʻish shaxslarini cheklang, kod va sirlarni skanerlang, artefakt va chiqarish tasdigʻini himoyalang. Topilmalarni internetga ochiqlik, maʼlumot maxfiyligi va ruxsat doirasiga koʻra baholang; bitta umumiy ball barcha muhitga mos emas.