このページのトピック
既存のクラウドプロジェクトのセキュリティ状態を初めて評価する
関連ユーザ
| ユーザの役割 | アクセス可能 |
|---|---|
| テクニカルチームメンバー |  |
| DevOpsチームメンバー | |
| セキュリティアナリスト | |
| セキュリティエンジニア | |
| コンプライアンスマネージャ | |
| プロジェクトマネージャ | |
| セキュリティチーム管理 | |
| コンサルタント | |
例
- 私は最近、既存のクラウドプロジェクトを担当するようになりました。このプロジェクトが安全でベストプラクティスに準拠していることを確認したいと考えています。
- AWSプロジェクトの規模が大きくなり、手動でのセキュリティ体制の確保が困難になったため、よりスケーラブルなソリューションを求めています。
Cloud Conformity ソリューション
開始する前に
アカウント または アカウントグループ を優先して、実稼働アカウントなどを評価します。
パート1-現在のセキュリティ状況を評価するレポートの作成
手順1：セキュリティ状態を評価するアカウントまたはアカウントのグループを選択し、 All checks レポートを生成します。
手順2：「All Checks」レポートを、失敗したチェックでフィルタします。
手順3：失敗したチェックをさらにフィルタしてレポートを作成し、組織の優先度に基づいて結果を絞り込みます。たとえば、 Well-Architected Framework カテゴリ、リソースタグ、リソースタイトル、および失敗したチェックのリスクレベルや重大度でフィルタできます。
たとえば、次のフィルタを適用すると、基本的なセキュリティレポートが作成され、複数のFailureを一度に検出するよりも、集中して修正する方が簡単です。
- カテゴリ>セキュリティ
- タグ>「public」
- Standards and Frameworks > AWS Well-Architected Framework
オプション： generate and downloadPDFまたはCSV失敗チェックレポートを生成してダウンロードし、関係者と共有します。
パート2-レポートに基づいた修復計画の作成
手順1：レポートを分析して、さまざまなルールのFailureを解決するためのチームメンバーの作業量と可用性を見積もります。
手順2：優先順位を付けるために、Failureを複数のグループに分けます。
たとえば、Failureをグループ化する場合は、最も作業量の少ないルール、最も重要度の高いルール、および特定のサービスまたはカテゴリに基づいてルールを優先させることができます。これにより、優先順位に基づいてFailureを分離して解決できます。
影響の大きいサービス、EC2、RDS、S3、IAM、VPC、およびロードバランサを優先して、他の Extreme またはVery High失敗チェックを続行することをお勧めします。
修復シナリオの例：
1.AWSプロジェクトの最初のセキュリティ検索で23,732件のチェックが行われました。 2.組織の優先度とリスクの受け入れポリシーに基づいて、セキュリティに対するリスクが高いセキュリティの問題を最初に解決します。 3.次のフィルタを適用して、セキュリティリスクに関するレポートを生成しました。 * AWS Well-Architected Framework カテゴリ - 'Security' * AWSサービス - 'S3' * 失敗したチェックのリスクレベル - [Extreme]および[Very high] 4.フィルタを適用すると、 Extreme および High Riskですぐに注意を払う必要のある20のセキュリティ失敗チェックの結果が表示されました。 5. S3 バケット の初期設定の暗号化を有効にすると、20件の失敗したチェックのうち13件が解決され、 Extreme レベルの検出結果が完全に解決されました。 6.ここでは、サービス間で修復の焦点をローテーションさせる増分アプローチを使用しました。これにより、最も重大度の高いFailureを最初に解決することに集中できるため、組織のコンプライアンススコアをすぐに向上させることができます。
手順3：フィルタを使用して、Failureのグループごとにレポートを生成し、チームメンバーと共有します。各メンバーは、レポートの一部として送信されたルールのFailureごとに 修復手順 に従うことができます。
オプション：定期レポートを作成して、関係者に最新の取り組みや進捗状況を通知できます。
通信チャネル（例： Slack、 Jira、 SMS、および Microsoft Teams ）を使用して、組織内の関連するチームメンバーにFailureを通知します。