הסבר על AWS CONFIG

תמלול ההרצאה: הסבר על AWS CONFIG

הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על AWS CONFIG» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שירות נוסף שמאפשר לנו להגן על החשבון שלנו ב-AWS נקרא AWS קונפיג. בסרטון שלפנינו אנחנו נראה איך להגדיר, איך להפעיל את ה-AWS קונפיג ונבין לעומק מה עוזר לנו ה-AWS קונפיג בהגנה על החשבון שלנו ב-AWS.

2. 00:23

   אני חייב לציין שזה כמעט no brainer מבחינתי כשמדובר בהגנה על החשבון שלכם ומאוד מומלץ. אני רוצה לומר שמאוד מומלץ להפעיל את ה-AWS קונפיקט. אז מה בדיוק עושה ה-AWS קונפיקט?

3. 00:41

   ה-AWS קונפיקט עושה שלושה דברים עיקריים. הדבר הראשון שהוא עושה הוא מאפשר לנו לראות אינבנטורי של ה-resource של האינפרסטראקט של ה-resources שלנו בחשבון. כלומר, אנחנו נראה את כמות ה-buckets, את כמות ה-EC2 Instants, את ה-Subnets שיש לנו, Security Groups, ACL, VPCs.

4. 01:05

   בקיצור, הוא יראה לנו רשימה של כל הריסורס שלנו של האינפרסטרקציה. הדבר הבא שהוא עושה בזכות זה שהוא מחזיק רשימה עדכנית של כל הריסורס שלנו הוא גם עובד ביחד עם cloud rail בכדי לעשות ריקורדינג להקליט את כל השינויים שמתרחשים באותם ריסורס.

5. 01:32

   כלומר אם יצרנו סקיוריטי גרופ שינינו איזשהו חוק בסקיוריטי גרופ שינינו שוב פעם מחקנו כל הפעולות האלה יירשמו בעזרת ה-Config Recorder שזה מאוד חשוב כאשר יש לנו תקלה או בעיה ואנחנו רוצים לחזור אחורה בזמן ולראות מי עשה מה מתי ולראות האם יש לזה האם יש לזה איזושהי השפעה על הבעיה שאנחנו

6. 01:55

   רואים לפנינו היום. הדבר השלישי ש-Config עושה לנו הוא מאוד מיוחד זה היכולת שלנו להכיל Compliance להכיל שורה של חוקים על החשבון וקונפיג מה שיעשה הוא ידאג לומר לנו האם אנחנו עומדים בקומפליינס הזה, האם אנחנו מה שנקרא מיישמים את החוקים שאנחנו רוצים ליישם באותו חשבון.

7. 02:30

   למשל אנחנו יכולים להגיד כל ה-IM יוזרס בחשבון הזה חייב שיהיה להם MFA. אם אני אצור יוזר בחשבון מחר בלי MFA קונפיג ידווח לי על זה. אני יכול לומר אני מחייב את החשבון הזה שירוץ בו CloudTrail אני לא רוצה שאף אחד יעשה Disable ואם עשו Disable ל-CloudTrail תאמר לי על זה אם מישהו יעשה Disable ל-CloudTrail

8. 02:58

   אנחנו נקבל הודעה שאנחנו לא Compliance כי CloudTrail Disable אני יכול לומר אני רוצה לוודא שאין לנו Security Group שפתוחים לאינטרנט שוב פעם קונפיקט ישים עין על החשבון וכל פעם שמישהו מייצר סקיוריטי גרופ שהוא פתוח לאינטרנט קונפיג ידווח לנו על זה. דרך אגב זה לא רק דיווח אפשר גם לבקש מקונפיג

9. 03:30

   שיעשה רמידיישן שיתקן את הבעיה כלומר אם הוא מוצא סקיוריטי גרופ שפתוח לאינטרנט אני יכול לבקש ממנו תסגור את הסקיוריטי גרופ תמחק את האינבאונד רול באופן אוטומטי אוקיי?

10. 03:47

    כלומר אנחנו יכולים לבקש מקונפיג לא רק לזהות שאנחנו עושים דברים לא טובים שאנחנו אלא גם אני יכול להגיד לו אם אתה יכול תתקן את אותה בעיה של ה-non-compliance, אוקיי? או לפחות אם זה לא לתקן תבטל את מה שנעשה כדי שנישאר compliance, אוקיי? אני מקווה שזה נשמע מרגש עד עכשיו, אתם תראו את זה הלכה למעשה אז אפילו יותר מרגש, פשוט יהיה מושלם.

11. 04:16

    אז בואו נעיף מבט על ה-config על הגדרה של, על יצירה של config, רק לפני שאני אעשה את זה חשוב לי מאוד לחשבון פרודקשן שלי ולראות שאכן יש לי פה כל מיני מכונות ויש לי קצת סקיוריטי גרופ, יש לי פה כמה אינסטנסים ובוא נראה סקיוריטי גרופ, יש לי שלושה סקיוריטי גרופ, יפה מאוד. יש לי קצת ריסורסס שקיימים פה.

12. 04:45

    אז מה אני יכול לעשות? אני יכול לגשת ולהתקין את ה-config, את ה-AWS config. בוא ניגש ונפעיל את ה-config. כי אם אני לא אפעיל config, איך אני יכול לדעת האם אני עומד בדרישות של עצמי מבחינת קומפליינס?

13. 05:03

    איך אנחנו מפעילים קונפיג? אין משהו יותר פשוט מלהפעיל קונפיג. ניגש לשירות קונפיג, אפשר לגשת פה לצד שמאל, Setup AWS Config. אני מבקש Include Global Record as well, ותשימו לב שכשאתם מפעילים את הקונפיג, הוא שואל אתכם איפה לשמור את הלוגים, וכברירת מחדל הוא מבקש ליצור באקט, החשבון עצמו שלכם וזה בסדר גמור כרגע ברשותכם

14. 05:44

    אני אפעיל קונפיק בצורה הדיפולט למה אני מכין אתכם לזה למה אני מספר לכם על זה כי אתם תראו בהמשך שיש אפשרות לבקש לשמור את הלוגים של הקונפיק ממש כמו שעשינו בסרטון של הקלאוט רייל באיזשהו באקט בחשבון אחר אנחנו נעשה את זה אחרי זה בסרטון נוסף כרגע ברמה הבסיסית בוא

15. 06:11

    נפעיל קונפיק באופן דיפולט אז באופן דיפולט הוא ייצור לנו באקט מקומי ושם הוא ישמור את הלוגים. זה בסדר גמור. נקסט. ואז הוא שואל אותי, תגיד לי, איזה קומפליינס אתה רוצה לעקוב אחריו? מה אתה רוצה שאני אעקוב אחריו ואדאג לומר לך אם אתה עובד נכון או לא? האם אתה בקומפליינס או לא? אתם בוחרים

16. 06:35

    את רמת הסקיוריטי שלכם בחשבון. יש מעל 300 חוקים. אתם רואים פה 154, אבל ברגע שאנחנו נפעיל את הקונפיג הוא יוסיף לו את זה 150. כלומר, יש לי כמעט 300 פלוס חוקים שאני יכול לנסות לעמוד בהם.

17. 06:52

    אבל כרגע, ברשותכם, בואו נפעיל כמה חוקים מאוד בסיסיים שאני לא רואה שום סיבה למה לא להפעיל אותם בכל חשבון, בכל use case.

18. 07:01

    למשל, את הנושא של restricted SSH. תגיד לי, כשיש לי security group שהוא לא תקין מבחינת, הוא פתוח לעולם ב-SSH, תגיד לי ש-cloud rail הוא ב-disable.

19. 07:19

    תגיד לי שאין לי MFA לרות או ל-IM אקאונט. תגיד לי בבקשה, מה עוד תגיד לי? תגיד לי בבקשה, תגיד לי בבקשה שה-IM פסוורד פוליסי שלי לא מוגדר בצורה טובה. אני רוצה שהוא יהיה כמה שיותר הרדן, אנחנו נראה מה זה עוד רגע.

20. 07:44

    כרגע אני בחרתי רק שלושה, ארבעה, חמישה חוקים וזה מספיק, תמיד אפשר להוסיף יותר. בוא נמשיך קדימה, רק לטובת הסרטון הדגמה ו-confirm.

21. 07:54

    זהו, זה העניין חברים, that's it. הפעלתי כרגע שירות בדקה וחצי שישים עין על החשבון שלי ויספר לי כשאנחנו עושים משהו לא בסדר. עכשיו חשוב לציין שזה ייקח כמה דקות עד שהוא יתחיל לקרוא את מה שיש לי בחשבון, ומאותו רגע אחת ליום הוא עושה סריקה שמבררת את התצורה ומספרת לי מה קומפליינס ומה לא קומפליינס.

22. 08:25

    אז הדבר הראשון שאנחנו נראה עוד רגע, אני אעצור את הסרטון, אני אתן איזה כמה דקות שהוא יעשה סקן לחשבון. הדבר הראשון שאנחנו נסתכל זה ה-resource inventory שהבטחתי לכם.

23. 08:35

    אנחנו נראה פה כמה VPC יש לי, כמה subnet, כמה security group, כמה EC2. אנחנו נראה מה קומפליינס, מה לא קומפליינס ואתם לבד תראו שאני בכוונה דאגתי לא להיות ב-100% קומפליינס כדי שנוכל לתקן את הבעיות ואז לראות שוב איך קונפיג מספר לי עליהם, אוקיי?

24. 08:57

    אז בואו אני אעצור את הסרטון, תנו לי רק לעשות פה ריפרש שנייה אחת. לוקח כמה דקות בדרך כלל, הנה זה כבר מתחיל לעבוד, אפשר לראות שיש לי כבר Non Compliance אבל אני אתן לזה עוד כמה דקות כדי שהוא יעשה סריקה טובה ונתחיל לראות גם את ה-resource שלנו, נשוב עוד כמה דקות.

25. 09:15

    כשנחשב שנתנו לזה כמה דקות בואו נראה ביחד מה קונפיקט גילה אצלי בחשבון פה, אז אם אני אגש לחוקים שביקשנו לברר האם אנחנו עומדים בהם Rules אפשר לראות שחלק מהחוקים הם Non Compliance כלומר אני לא עומד באיזשהו חוק שביקשתי לבדוק לגביו אפשר לראות שבחלק אני עומד למשל אכן cloud trail enable בחשבון הזה אז אני compliance

26. 09:42

    אני במצב טוב אני גם יכול לבקש לראות תראה לי רק מה compliant אפשר לראות בפשטות שcloud trail אכן אני בסדר אבל בnon-compliant אפשר לראות שיש כמה דברים שאני עושה שהם כנראה לא בסדר שוב פעם אתם מחליטים מה עבורכם באותו חשבון יהיה מחוץ ל-compliance או מה יהיה compliance

27. 10:05

    אני כמובן השתמשתי בכמה חוקים שלדעתי כל חשבון כדאי שיעמוד בהם. אז למשל, ה-IM Policy שלי הוא לא IM Policy Harden, הוא לא מחוזק. כנראה שלא ביקשנו לשנות את ה... לא ביקשנו להגדיר Custom IM Policy.

28. 10:25

    בואו ניגש ונבדוק את זה ונשנה את זה. -IM, כברירת מחדל אצלי בחשבון, אם אני ארצה ליצור IM User כאן מצד שמאל, כנראה שאני אוכל ליצור IM User עם סיסמה מאוד מאוד פשוטה.

29. 10:41

    זה לא דבר שכדאי לעבוד לפיו. אז אני אכנס פה עכשיו ל-Account Settings Password Policy Edit ואני אשנה את זה ל-Custom למשהו הרבה יותר מורכב.

30. 10:52

    אני דורש 16 Characters לכל אחת מהסיסמאות, במידה ואני אצור. אני רוצה לשנות את הסיסמה כל 90 יום ואני רוצה לדאוג שלא נוכל להשתמש באותה סיסמה לפחות אחרי 24 שינויים.

31. 11:10

    אז אפשר לראות שפה עכשיו אני מחזק את הדרישה שלי לסיסמה עבור IM-user. עכשיו, כשעשיתי את זה בחשבון הזה, אני מקווה שקונפיג, אחרי שיעשה שוב פעם סריקה, יאמר לי שה-IM-פספורט פוליסי שלי עכשיו יהיה קומפליינס.

32. 11:30

    אם אני רוצה לזרז את זה, אני פשוט אעשה re-evaluate. ומה שהקונפיג עכשיו ילך ויעשה, קונפיג ילך ויבדוק האם באמת ה-IM-פספורט פוליסי שונה לטובה האם הוא עומד בתנאים של החוק הזה האם אנחנו עומדים בתנאים של החוק הזה והחוק הזה הוא די רציני מינימום 14 תווים אני עשיתי 16 מינימום 24 פעמים לזכור לאחור ומינימום 90

33. 12:00

    יום להחליף סיסמה אני לחלוטין עומד בתנאים האלה כלומר אם אנחנו נבקש מהחוק הזה שוב פעם שירוץ וואלה אפשר לראות עכשיו אני קומפליינס בוא נבדוק עוד דברים