Max Home IndustryAmazon выпустила автоматизированную службу оценки безопасности, которую можно использовать для повышения безопасности и соответствия требованиям приложений, развернутых на AWS. В настоящее время он находится в предварительном просмотре и только по приглашению.
Amazon Inspector-это новая служба, которая будет оценивать приложения на предмет уязвимостей или отклонений от лучших практик. После завершения оценки вы получите подробный отчет с приоритетными шагами, в котором будет указано, что нужно сделать, чтобы сделать приложение более совместимым. Уязвимости можно оценить перед развертыванием или в приложениях, работающих в рабочей среде. Это работает следующим образом: вы развертываете агент на виртуальных серверах, которые хотите оценить, выбираете тесты, которые хотите запустить, и выполняете оценку.
Служба основана на базе знаний сотен правил, сопоставленных с общими стандартами соответствия требованиям безопасности и определениями уязвимостей. Некоторые из встроенных правил, приведенных в качестве примеров, включают проверку того, включен ли удаленный корневой вход или установлены уязвимые версии программного обеспечения. Правила будут регулярно обновляться исследователями безопасности AWS. Правила включают проверку соответствия приложения рекомендациям по проверке подлинности, конфигурации сети, настройкам виртуальной машины, настройкам приложений, а также конфигурациям ОС и исправлениям. Инспектор также проверяет соответствие общим стандартам безопасности (например, PCI) и уязвимости. Проверки также включают подробные рекомендуемые шаги по устранению проблем безопасности.
Amazon Inspector также поставляется с API-интерфейсами, которые можно использовать для тестирования безопасности во время разработки и проектирования приложений. Вы можете выбрать конкретные отчеты, запустить их и просмотреть результаты. Amazon говорит, что инспектор может интегрироваться с партнерскими решениями, такими как инструменты управления конфигурацией. Сервис включает в себя SDK, состоящие из библиотек и примеров кода для различных языков программирования и платформ, включая Java, Python, Ruby, .NET, iOS и Android. SDK можно использовать для программного доступа к службе Amazon Inspector. Существует также HTTPS-API Amazon Inspector, который позволяет отправлять HTTPS-запросы непосредственно в службу.
Сервис полностью интегрирован с AWS CloudTrail, поэтому вы можете регистрировать тестирование безопасности, чтобы аудиторы соответствия требованиям компании могли видеть, какие тесты были выполнены и когда, а также каковы были результаты этих тестов. В дополнение к встроенным правилам вы можете создать свои собственные, определяющие стандарты и рекомендации компании для приложений, и проверить, соответствуют ли приложения этим стандартам.
Если у вас есть номер учетной записи AWS, вы можете подписаться на приглашение для доступа к предварительному просмотру Amazon Inspector.