AWS - Inspector Enum
AWS - Ukaguzi Enum
Ukaguzi
Amazon Inspector ni huduma ya usimamizi wa hatari ya kiotomatiki ya hali ya juu iliyoundwa kuboresha usalama wa mazingira yako ya AWS. Huduma hii inafanya ukaguzi wa mara kwa mara wa mifano ya Amazon EC2, picha za kontena katika Amazon ECR, Amazon ECS, na kazi za AWS Lambda kwa ajili ya hatari na upenyezaji usio wa makusudi wa mtandao. Kwa kutumia database imara ya upelelezi wa hatari, Amazon Inspector hutoa matokeo ya kina, ikiwa ni pamoja na viwango vya ukali na mapendekezo ya urekebishaji, kusaidia mashirika kutambua na kushughulikia hatari za usalama kwa njia ya kujitolea na kushughulikia hatari. Mbinu hii kamili inahakikisha nafasi imara ya usalama kote kwenye huduma mbalimbali za AWS, ikisaidia katika utekelezaji wa kanuni na usimamizi wa hatari.
Vipengele muhimu
Matokeo
Matokeo katika Amazon Inspector ni ripoti za kina kuhusu hatari na upenyezaji uliogunduliwa wakati wa ukaguzi wa mifano za EC2, makusanyo ya ECR, au kazi za Lambda. Kulingana na hali yake, matokeo hupangwa kama ifuatavyo:
Tendaji: Matokeo hayajarekebishwa.
Fungwa: Matokeo yamefanyiwa marekebisho.
Kuzuiwa: Matokeo yamepewa hali hii kutokana na moja au zaidi ya kanuni za kuzuia.
Matokeo pia hupangwa katika aina tatu zifuatazo:
Pakiti: Matokeo haya yanahusiana na hatari katika programu zilizowekwa kwenye rasilimali zako. Mifano ni pamoja na maktaba zilizopitwa na wakati au tegemezi zenye masuala ya usalama yanayojulikana.
Msimbo: Kategoria hii inajumuisha hatari zilizopatikana katika msimbo wa programu zinazoendesha kwenye rasilimali zako za AWS. Matatizo ya kawaida ni makosa ya kuandika au mazoea hafifu ambayo yanaweza kusababisha uvunjaji wa usalama.
Mtandao: Matokeo ya mtandao yanatambua upenyezaji wa uwezekano katika mipangilio ya mtandao ambayo inaweza kutumiwa na wachomaji. Hizi ni pamoja na bandari zilizofunguliwa, itifaki dhaifu za mtandao, na vikundi vya usalama vilivyopangwa vibaya.
Vichujio na Kanuni za Kuzuia
Vichujio na kanuni za kuzuia katika Amazon Inspector husaidia katika usimamizi na kupanga matokeo. Vichujio huruhusu kurekebisha matokeo kulingana na vigezo maalum, kama vile ukali au aina ya rasilimali. Kanuni za kuzuia huruhusu kuzuia matokeo fulani yanayochukuliwa kuwa hatari ndogo, tayari yamepatikana, au kwa sababu nyingine muhimu, kuzuia matokeo hayo kuzidi katika ripoti zako za usalama na kuruhusu kuzingatia masuala muhimu zaidi.
Orodha ya Vifaa vya Programu (SBOM)
Orodha ya Vifaa vya Programu (SBOM) katika Amazon Inspector ni orodha iliyopangwa inayoweza kusafirishwa inayoelezea vipengele vyote ndani ya pakiti ya programu, ikiwa ni pamoja na maktaba na tegemezi. SBOMs husaidia kutoa uwazi katika ugavi wa programu, kuruhusu usimamizi bora wa hatari na utekelezaji wa kanuni. Ni muhimu kwa kutambua na kupunguza hatari zinazohusiana na programu za chanzo wazi na za mtu wa tatu.
Vipengele muhimu
Usafirishaji wa Matokeo
Amazon Inspector inatoa uwezo wa kusafirisha matokeo kwenda Kikapu cha Amazon S3, Amazon EventBridge na AWS Security Hub, ambayo inakuwezesha kuzalisha ripoti za kina za hatari na upenyezaji uliothibitishwa kwa uchambuzi zaidi au kushiriki kwa tarehe na wakati maalum. Kipengele hiki kinatoa muundo mbalimbali wa pato kama CSV na JSON, kufanya iwe rahisi kuingiliana na zana na mifumo mingine. Kazi ya kusafirisha inaruhusu ubinafsishaji wa data iliyomo katika ripoti, ikikuruhusu kuchuja matokeo kulingana na vigezo maalum kama vile ukali, aina ya rasilimali, au muda wa tarehe na kwa kawaida kujumuisha matokeo yote katika Mkoa wa AWS wa sasa na hali ya Tendaji.
Wakati wa kusafirisha matokeo, ufunguo wa Huduma ya Usimamizi wa Kielelezo (KMS) ni lazima ili kusimbua data wakati wa usafirishaji. Vifunguo vya KMS vinahakikisha kuwa matokeo yaliyosafirishwa yanalindwa dhidi ya ufikiaji usiohalali, kutoa safu ya ziada ya usalama kwa habari nyeti ya hatari.
Ukaguzi wa mifano ya Amazon EC2
Amazon Inspector inatoa uwezo imara wa ukaguzi wa mifano ya Amazon EC2 ili kugundua hatari na masuala ya usalama. Inspector hulinganisha metadata iliyochimbuliwa kutoka kwa mifano ya EC2 dhidi ya kanuni kutoka kwa ushauri wa usalama ili kuzalisha hatari za pakiti na masuala ya kufikika kwa mtandao. Ukaguzi huu unaweza kufanywa kupitia njia za msingi wa wakala au bila wakala, kulingana na mipangilio ya aina ya ukaguzi ya akaunti yako.
Kulingana na Wakala: Hutumia wakala wa Meneja wa Mifumo ya AWS (SSM) kufanya ukaguzi wa kina. Njia hii inaruhusu ukusanyaji wa data na uchambuzi kamili moja kwa moja kutoka kwa mifano.
Bila Wakala: Hutoa mbadala mwepesi ambao hauhitaji kusakinisha wakala kwenye mifano, kwa kuchukua picha ya EBS ya kila kiasi cha mifano ya EC2, kutafuta hatari, na kisha kufuta; kwa kutumia miundombinu iliyopo ya AWS kwa ukaguzi.
Aina ya ukaguzi inaamua ni njia ipi itatumika kufanya ukaguzi wa EC2:
Kulingana na Wakala: Inahusisha kusakinisha wakala wa SSM kwenye mifano ya EC2 kwa ukaguzi wa kina.
Ukaguzi wa Hibridi: Unachanganya njia za kulingana na wakala na bila wakala ili kufikia chanjo kubwa na kupunguza athari kwa utendaji. Kwenye mifano ya EC2 ambapo wakala wa SSM umesakinishwa, Inspector atafanya ukaguzi kulingana na wakala, na kwa wale ambapo hakuna wakala wa SSM, ukaguzi utafanywa bila wakala.
Kipengele kingine muhimu ni ukaguzi wa kina kwa mifano ya EC2 za Linux. Kipengele hiki kinatoa uchambuzi kamili wa programu na usanidi wa mifano ya EC2 za Linux, kutoa tathmini ya kina ya hatari, ikiwa ni pamoja na hatari za mfumo wa uendeshaji, hatari za programu, na makosa ya usanidi, kuhakikisha tathmini kamili ya usalama. Hii inafikiwa kupitia ukaguzi wa njia za desturi na vijarida vyake vyote. Kwa chaguo-msingi, Amazon Inspector itafanya ukaguzi wa yafuatayo, lakini kila akaunti ya mwanachama inaweza kufafanua hadi njia 5 za desturi zaidi, na kila msimamizi aliyeteuliwa hadi 10:
/usr/lib/usr/lib64/usr/local/lib/usr/local/lib64
Ukaguzi wa picha za kontena za Amazon ECR
Amazon Inspector hutoa uwezo imara wa ukaguzi wa picha za kontena za Amazon Elastic Container Registry (ECR), kuhakikisha kuwa hatari za pakiti zinagunduliwa na kusimamiwa kwa ufanisi.
Ukaguzi wa Msingi: Hii ni ukaguzi wa haraka na mwepesi unaotambua hatari za pakiti za OS zilizojulikana katika picha za kontena kwa kutumia seti ya kawaida ya kanuni kutoka kwa mradi wa wazi wa Clair. Kwa usanidi huu wa ukaguzi, makusanyo yako yatafanyiwa ukaguzi wakati wa kusukuma, au kufanya ukaguzi wa mwongozo.
Ukaguzi Ulioboreshwa: Chaguo hili huongeza kipengele cha ukaguzi endelevu kando na ukaguzi wa kusukuma. Ukaguzi ulioboreshwa unachimba kwa kina katika safu za kila picha ya kontena ili kutambua hatari katika pakiti za OS na pakiti za lugha za programu kwa usahihi zaidi. Inachambua picha ya msingi na safu zingine zozote, ikitoa mtazamo kamili wa masuala ya usalama yanayowezekana.
Ukaguzi wa kazi za AWS Lambda
Amazon Inspector inajumuisha uwezo wa kina wa ukaguzi wa kazi za AWS Lambda na safu zake, kuhakikisha usalama na uadilifu wa programu zisizo na seva. Inspector inatoa aina mbili za ukaguzi kwa kazi za Lambda:
Ukaguzi wa kawaida wa Lambda: Kipengele hiki cha msingi kinatambua hatari za programu katika tegemezi za pakiti za programu zilizoongezwa kwenye kazi yako ya Lambda na safu. Kwa mfano, ikiwa kazi yako inatumia toleo la maktaba kama python-jwt lenye hatari inayojulikana, inazalisha matokeo.
Ukaguzi wa msimbo wa Lambda: Inachambua msimbo wa maombi ya desturi kwa masuala ya usalama, kutambua hatari kama vile kasoro za kuingiza, uvujaji wa data, kriptografia dhaifu, na ukosefu wa kusimbua. Inachukua vipande vya msimbo vinavyoonyesha hatari zilizogunduliwa, kama vile vibali vilivyowekwa kwa nguvu. Matokeo ni pamoja na mapendekezo ya urekebishaji ya kina na vipande vya msimbo kwa kurekebisha masuala.
Uchunguzi wa Kituo cha Usalama wa Mtandao (CIS)
Amazon Inspector inajumuisha uchunguzi wa CIS ili kupima mifumo ya uendeshaji ya kifaa cha Amazon EC2 dhidi ya mapendekezo bora kutoka Kituo cha Usalama wa Mtandao (CIS). Uchunguzi huu huhakikisha kuwa mipangilio inazingatia viwango vya usalama vya tasnia.
Mipangilio: Uchunguzi wa CIS huchambua ikiwa mipangilio ya mfumo inakidhi mapendekezo maalum ya CIS Benchmark, huku kila ukaguzi ukihusishwa na kitambulisho na kichwa cha ukaguzi wa CIS.
Utekelezaji: Uchunguzi hufanywa au kupangwa kulingana na vitambulisho vya kifaa na ratiba zilizowekwa.
Matokeo: Matokeo baada ya uchunguzi huonyesha ni ukaguzi upi ulipita, uliorukwa, au kushindwa, hivyo kutoa ufahamu kuhusu hali ya usalama ya kila kifaa.
Urambazaji
Baada ya Uvamizi
Kutoka mtazamo wa mshambuliaji, huduma hii inaweza kumsaidia mshambuliaji kupata mapungufu na upenyezaji wa mtandao ambao unaweza kumsaidia kudukua mifano/maakasha mengine.
Hata hivyo, mshambuliaji pia anaweza kuwa na nia ya kuvuruga huduma hii ili muathirika asione mapungufu (yote au maalum).
inspector2:CreateFindingsReport, inspector2:CreateSBOMReport
inspector2:CreateFindingsReport, inspector2:CreateSBOMReportMshambuliaji anaweza kutengeneza ripoti za kina za mapungufu au orodha ya vifaa vya programu (SBOMs) na kuzituma nje ya mazingira yako ya AWS. Taarifa hii inaweza kutumiwa kuchunguza udhaifu maalum, programu zilizopitwa na wakati, au tegemezi zisizo salama, kuruhusu mashambulizi yaliyolengwa.
Tengeneza Bakuli la Amazon S3 na ambatanisha sera ili liweze kufikiwa kutoka kwa Amazon Inspector wa mwathiriwa:
Tengeneza ufunguo wa Amazon KMS na ambatanisha sera nayo ili uweze kutumiwa na Amazon Inspector wa mwathiriwa:
Tekeleza amri ya kuunda ripoti za matokeo ikiondoa:
Athari Inayoweza Kutokea: Kizazi na utoaji wa ripoti za undumilakuwili na programu kwa undani, kupata ufahamu kuhusu udhaifu maalum na mapungufu ya usalama.
inspector2:CancelFindingsReport, inspector2:CancelSbomExport
inspector2:CancelFindingsReport, inspector2:CancelSbomExportMshambuliaji anaweza kufuta kizazi cha ripoti maalum za ugunduzi au ripoti ya SBOM, kuzuia timu za usalama kupokea taarifa kwa wakati kuhusu udhaifu na vifaa vya programu (SBOMs), kuchelewesha ugunduzi na urekebishaji wa masuala ya usalama.
Athari Inayowezekana: Kuvuruga ufuatiliaji wa usalama na kuzuia ugunduzi na urekebishaji wa wakati wa masuala ya usalama.
inspector2:CreateFilter, inspector2:UpdateFilter, inspector2:DeleteFilter
inspector2:CreateFilter, inspector2:UpdateFilter, inspector2:DeleteFilterMshambuliaji mwenye ruhusa hizi angekuwa na uwezo wa kubadilisha sheria za uchujaji ambazo hupitisha ni mapungufu na masuala ya usalama yaliyoripotiwa au kusitishwa (ikiwa hatua imewekwa kama SUPPRESS, sheria ya kusitisha ingeanzishwa). Hii inaweza kuficha mapungufu muhimu kutoka kwa watawala wa usalama, hivyo kuwa rahisi kutumia udhaifu huu bila kugunduliwa. Kwa kubadilisha au kuondoa vichujio muhimu, mshambuliaji pia anaweza kuleta kelele kwa kufurika kwa mfumo na matokeo yasiyo na maana, kukwamisha ufuatiliaji na majibu ya usalama kwa ufanisi.
Athari Inayowezekana: Kuficha au kuzuia upatikanaji wa mapungufu muhimu, au kufurika kwa mfumo na matokeo yasiyo na maana.
inspector2:DisableDelegatedAdminAccount, (inspector2:EnableDelegatedAdminAccount & organizations:ListDelegatedAdministrators & organizations:EnableAWSServiceAccess & iam:CreateServiceLinkedRole)
inspector2:DisableDelegatedAdminAccount, (inspector2:EnableDelegatedAdminAccount & organizations:ListDelegatedAdministrators & organizations:EnableAWSServiceAccess & iam:CreateServiceLinkedRole)Mshambuliaji anaweza kuvuruga muundo wa usimamizi wa usalama kwa kiasi kikubwa.
Kwa kulemaza akaunti iliyopewa mamlaka, mshambuliaji anaweza kuzuia timu ya usalama kupata na kusimamia mipangilio na ripoti za Amazon Inspector.
Kuwezesha akaunti ya msimamizi isiyo halali kunaweza kuruhusu mshambuliaji kudhibiti mipangilio ya usalama, labda kwa kulemaza uchunguzi au kubadilisha mipangilio ili kuficha shughuli za uovu.
Inahitajika akaunti isiyo halali iwe katika Shirika moja na muathiriwa ili iweze kuwa msimamizi aliyepewa mamlaka.
Ili akaunti isiyo halali iwe msimamizi aliyepewa mamlaka, pia inahitajika kwamba baada ya msimamizi halali aliyepewa mamlaka kulemazwa, na kabla ya akaunti isiyo halali kuwezeshwa kama msimamizi aliyepewa mamlaka, msimamizi halali lazima atenguliwe kama msimamizi aliyepewa mamlaka kutoka kwa shirika. Hii inaweza kufanywa kwa amri ifuatayo (inahitaji ruhusa ya organizations:DeregisterDelegatedAdministrator): aws organizations deregister-delegated-administrator --account-id <legit-account-id> --service-principal [inspector2.amazonaws.com](http://inspector2.amazonaws.com/)
Athari Inayowezekana: Kuvuruga usimamizi wa usalama.
inspector2:AssociateMember, inspector2:DisassociateMember
inspector2:AssociateMember, inspector2:DisassociateMemberMshambuliaji anaweza kubadilisha uunganishaji wa akaunti za wanachama ndani ya shirika la Amazon Inspector. Kwa kuunganisha akaunti zisizoidhinishwa au kutoa uhusiano na zile halali, mshambuliaji anaweza kudhibiti ni akaunti zipi zinajumuishwa katika uchunguzi wa usalama na ripoti. Hii inaweza kusababisha akaunti muhimu kutengwa kutoka kwa ufuatiliaji wa usalama, kuruhusu mshambuliaji kutumia mapungufu katika akaunti hizo bila kugunduliwa.
Hatua hii inahitaji kufanywa na msimamizi aliyepewa jukumu.
Athari Inayoweza Kutokea: Kutengwa kwa akaunti muhimu kutoka kwa uchunguzi wa usalama, kuruhusu kutumia mapungufu bila kugundulika.
inspector2:Disable, (inspector2:Enable & iam:CreateServiceLinkedRole)
inspector2:Disable, (inspector2:Enable & iam:CreateServiceLinkedRole)Mshambuliaji mwenye ruhusa ya inspector2:Disable angekuwa na uwezo wa kulemaza uchunguzi wa usalama kwenye aina maalum za rasilimali (EC2, ECR, Lambda, Lambda code) kwenye akaunti zilizotajwa, kuacha sehemu za mazingira ya AWS bila ufuatiliaji na kuwa hatarini kwa mashambulizi. Aidha, kwa kuwa na ruhusa za inspector2:Enable & iam:CreateServiceLinkedRole, mshambuliaji basi angeweza kurejesha uchunguzi kwa uchaguzi ili kuepuka kugunduliwa kwa miundo isiyotarajiwa.
Hatua hii inahitaji kufanywa na msimamizi aliyeidhinishwa.
Athari Inayowezekana: Kuundwa kwa maeneo ya vipofu katika ufuatiliaji wa usalama.
inspector2:UpdateOrganizationConfiguration
inspector2:UpdateOrganizationConfigurationMshambuliaji mwenye idhini hii angekuwa na uwezo wa kusasisha mipangilio kwa ajili ya shirika lako la Amazon Inspector, ikibadilisha vipengele vya uchunguzi vilivyoanzishwa kwa akaunti mpya za wanachama.
Kitendo hiki kinahitaji kufanywa na msimamizi aliyeteuliwa.
Athari Inayowezekana: Kubadilisha sera na mipangilio ya uchunguzi wa usalama kwa shirika.
inspector2:TagResource, inspector2:UntagResource
inspector2:TagResource, inspector2:UntagResourceMshambuliaji anaweza kubadilisha vitambulisho kwenye rasilimali za AWS Inspector, ambazo ni muhimu kwa kuandaa, kufuatilia, na kiotomatiki upimaji wa usalama. Kwa kubadilisha au kuondoa vitambulisho, mshambuliaji anaweza kuficha mapungufu kutoka kwa uchunguzi wa usalama, kuvuruga ripoti za utii, na kuingilia kati na mchakato wa urekebishaji uliojikita, ikisababisha maswala ya usalama yasiyodhibitiwa na uadilifu wa mfumo ulioathiriwa.
Athari Inayowezekana: Kuficha mapungufu, kuvuruga ripoti za utii, kuvuruga automatiki ya usalama na kuvuruga mgawanyo wa gharama.
Marejeo
Last updated
