Лабораторная работа — SCS-C03 AWS Certified Security Specialty

Обзор

Предварительные требования

Шаги

1. 1.Выбираем версию Terraform и регион AWS

   Стандартное начало. SCS-C03 не зависит от провайдера и региона по своему охвату, но безопасную базовую конфигурацию необходимо применять для каждого региона — GuardDuty и Access Analyzer являются региональными сервисами. Большинство команд выбирают основной регион (например, us-east-1) для базовой конфигурации и реплицируют его с помощью Terraform для каждого региона по мере расширения учетной записи.

   Копировать

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       aws = {
         source  = "hashicorp/aws"
         version = "~> 5.60"
       }
     }
   }
   
   provider "aws" {
     region = "us-east-1"
   
     default_tags {
       tags = {
         Project   = "certlabpro-scs-c03"
         ManagedBy = "terraform"
       }
     }
   }
   
   data "aws_caller_identity" "current" {}

2. 2.Создаем управляемый клиентом ключ KMS с ротацией для шифрования данных приложений

   Создаваемые ресурсы:

   • AWS KMS

   SCS-C03 проверяет разницу между ключами KMS, управляемыми AWS (бесплатны, автоматическая ротация, нет политики ключа, которую вы контролируете) и ключами, управляемыми клиентом ($1/месяц, вы владеете политикой, вы контролируете ротацию, вы получаете видимость аудита для каждого вызова Encrypt/Decrypt через CloudTrail). В продакшене всегда следует использовать ключи, управляемые клиентом.

   Мы включаем ежегодную ротацию (enable_key_rotation = true) и пишем политику ключа, которая предоставляет корневой учетной записи возможность администрировать ключ (по умолчанию AWS для любого ключа, управляемого клиентом) и явно предоставляет службе IAM Access Analyzer разрешение на оценку политики ключа. Псевдоним делает ключ доступным по человекочитаемому имени в последующем коде вместо UUID — SCS-C03 проверяет это соглашение об именовании как предварительное условие для аудита CloudTrail.

   Копировать

   resource "aws_kms_key" "app_data" {
     description             = "Customer-managed key for application data encryption."
     enable_key_rotation     = true
     deletion_window_in_days = 30
   
     policy = jsonencode({
       Version = "2012-10-17"
       Statement = [
         {
           Sid       = "EnableRootAccountAdmin"
           Effect    = "Allow"
           Principal = { AWS = "arn:aws:iam::${data.aws_caller_identity.current.account_id}:root" }
           Action    = "kms:*"
           Resource  = "*"
         },
         {
           Sid       = "AllowAccessAnalyzerToDescribe"
           Effect    = "Allow"
           Principal = { Service = "access-analyzer.amazonaws.com" }
           Action    = ["kms:DescribeKey", "kms:GetKeyPolicy"]
           Resource  = "*"
         },
       ]
     })
   }
   
   resource "aws_kms_alias" "app_data" {
     name          = "alias/certlabpro-scs-c03-app-data"
     target_key_id = aws_kms_key.app_data.id
   }

3. 3.Включаем IAM Access Analyzer для обнаружения непреднамеренного публичного или межсетевого доступа

   Создаваемые ресурсы:

   • AWS IAM Access Analyzer

   Access Analyzer постоянно оценивает политики на основе ресурсов (политики бакетов S3, политики ключей KMS, политики доверия ролей IAM, разрешения Lambda, политики очередей SQS, политики ротации Secrets Manager и многое другое) и выявляет нарушение всякий раз, когда обнаруживает ресурс, доступный извне вашей учетной записи или границы доверия. Домен SCS-C03 Обнаружение угроз и реагирование на инциденты проверяет именно этот шаблон — обнаружения Access Analyzer являются каноническим сигналом для «о, этот бакет теперь публичный».

   type = "ACCOUNT" ограничивает анализатор вашей учетной записью; type = "ORGANIZATION" требует AWS Organizations и охватывает всю организацию (ответ SCS-C03 для нескольких учетных записей). В любом случае, это всегда бесплатно и не требует настройки после включения.

   Копировать

   resource "aws_accessanalyzer_analyzer" "main" {
     analyzer_name = "certlabpro-scs-c03"
     type          = "ACCOUNT"
   }

4. 4.Включаем GuardDuty, чтобы получать уведомления об атаках

   Создаваемые ресурсы:

   • Amazon GuardDuty

   GuardDuty — это управляемая служба AWS для обнаружения угроз. Она постоянно анализирует журналы CloudTrail, VPC Flow Logs и DNS по каналам разведывательной информации AWS — опубликованным спискам известных плохих IP-адресов, доменов для криптомайнинга, инфраструктуры управления и контроля, а также подозрительных шаблонов поведения учетных записей. Обнаружения помечаются уровнем серьезности (Низкий / Средний / Высокий) и машиночитаемым типом, таким как Recon:EC2/PortProbeUnprotectedPort.

   Мы включаем детектор с частотой публикации 15 минут (быстрее, чем стандартные 6 часов; вопросы SCS-C03 о MTTR почти всегда предполагают частую публикацию). Плагины защиты на основе IAM (MALWARE_PROTECTION_FOR_EC2, S3_DATA_EVENTS и т. д.) стоят дополнительно и выходят за рамки этой базовой конфигурации; включайте их для каждой рабочей нагрузки в продакшене.

   Обнаружения автоматически публикуются в EventBridge — именно так подключается последующая автоматизация (уведомления в Slack, корреляция Security Hub, лямбда-функции для автоматического исправления). SCS-C03 неоднократно проверяет эту цепочку обнаружения → EventBridge → реагирование. Мы не настраиваем последующую часть здесь, но как только Шаг 4 завершится, GuardDuty начнет публиковать обнаружения.

   Копировать

   resource "aws_guardduty_detector" "main" {
     enable                       = true
     finding_publishing_frequency = "FIFTEEN_MINUTES"
   }

5. 5.Размещаем все в централизованном бакете для аудиторских журналов для хранения и проверки

   Создаваемые ресурсы:

   • Amazon S3

   Каждый вопрос SCS-C03 по Безопасности логирования и мониторинга ожидает, что у вас есть централизованный, зашифрованный бакет с режимом однократной записи, в который записываются данные других инструментов безопасности — CloudTrail, VPC Flow Logs, журналы доступа ELB, экспорты GuardDuty, регистраторы Config. Бакет шифруется с помощью управляемого клиентом ключа KMS из Шага 2, публичный доступ полностью заблокирован, и политика бакета обеспечивает, что любой записанный объект должен проходить через ключ из Шага 2 (записи в виде открытого текста не принимаются).

   Мы используем настройку владения bucket-owner-enforced (режим без ACL, рекомендованный AWS с 2023 года) — это один из наиболее часто проверяемых атрибутов усиления безопасности S3 на SCS-C03, поскольку он устраняет целый класс межсетевых ошибок конфигурации ACL.

   После настройки бакета базовая конфигурация завершена: KMS для ключей шифрования, Access Analyzer для непреднамеренного раскрытия, GuardDuty для обнаружения угроз и бакет для аудита для всего, что необходимо хранить для проверки соответствия. Каждый многосервисный сценарий SCS-C03 ожидает, что у вас есть эти четыре компонента; более сложные вопросы добавляют Security Hub, Config, Inspector или Macie поверх этой базы.

   Копировать

   resource "aws_s3_bucket" "audit_logs" {
     bucket_prefix = "certlabpro-scs-c03-audit-"
   }
   
   resource "aws_s3_bucket_public_access_block" "audit_logs" {
     bucket = aws_s3_bucket.audit_logs.id
   
     block_public_acls       = true
     block_public_policy     = true
     ignore_public_acls      = true
     restrict_public_buckets = true
   }
   
   resource "aws_s3_bucket_ownership_controls" "audit_logs" {
     bucket = aws_s3_bucket.audit_logs.id
   
     rule {
       object_ownership = "BucketOwnerEnforced"
     }
   }
   
   resource "aws_s3_bucket_server_side_encryption_configuration" "audit_logs" {
     bucket = aws_s3_bucket.audit_logs.id
   
     rule {
       apply_server_side_encryption_by_default {
         sse_algorithm     = "aws:kms"
         kms_master_key_id = aws_kms_key.app_data.arn
       }
       bucket_key_enabled = true # cuts KMS request costs ~99% on bulk writes
     }
   }
   
   resource "aws_s3_bucket_versioning" "audit_logs" {
     bucket = aws_s3_bucket.audit_logs.id
     versioning_configuration {
       status = "Enabled"
     }
   }
   
   resource "aws_s3_bucket_policy" "audit_logs_require_kms" {
     bucket = aws_s3_bucket.audit_logs.id
   
     policy = jsonencode({
       Version = "2012-10-17"
       Statement = [{
         Sid       = "DenyUnencryptedWrites"
         Effect    = "Deny"
         Principal = "*"
         Action    = "s3:PutObject"
         Resource  = "${aws_s3_bucket.audit_logs.arn}/*"
         Condition = {
           StringNotEquals = {
             "s3:x-amz-server-side-encryption" = "aws:kms"
           }
         }
       }]
     })
   }

Очистка ресурсов