Aktifkan proteksi keamanan host - Elastic Compute Service

Pilih Free Security Hardening saat membuat instans ECS, dan gunakan Security Center untuk memverifikasi serta menegakkan kepatuhan di seluruh armada Anda.

Risiko keamanan

Instans ECS baru dengan OS bersih yang terpapar ke Internet rentan terhadap pemindaian dan serangan otomatis yang mengeksploitasi kerentanan yang belum dipatch, kata sandi lemah, atau salah konfigurasi. Serangan tersebut dapat menginstal malware seperti virus penambangan dan ransomware, mencuri data, atau mengubah instans menjadi node jaringan bot.

Instans ECS yang dibuat dari gambar publik secara default menyertakan Edisi Gratis Security Center. Aktifkan fitur ini untuk mendapatkan penguatan keamanan dasar: pemindaian kerentanan (tanpa remediasi otomatis), pemindaian kerentanan darurat, deteksi kebocoran Pasangan Kunci Akses, pemeriksaan kepatuhan, dan Pendeteksian login tidak biasa.

Praktik terbaik

Aktifkan Penguatan Keamanan Gratis

Konsol

Pada halaman pembelian instans, pilih Free Security Hardening. Opsi ini diaktifkan secara default untuk gambar publik.

API

Panggil RunInstances atau CreateInstance dengan SecurityEnhancementStrategy diatur ke Active. Fitur ini hanya didukung untuk gambar publik.

Beli edisi Security Center

Security Center menawarkan edisi berbayar untuk keamanan host dan kontainer: Edisi Anti-virus, Edisi Lanjutan, Edisi Perusahaan, dan Edisi Ultimate. Layanan ini juga menyediakan fitur khusus skenario seperti anti-ransomware, pemindaian keamanan gambar kontainer, honeypot cloud, proteksi anti-pemalsuan web, proteksi aplikasi, serta analisis dan respons ancaman. Beli Security Center untuk memilih edisi dan fitur yang sesuai dengan kebutuhan Anda.

Kepatuhan

Verifikasi bahwa Free Security Hardening telah diaktifkan

Pemeriksaan Aset Host

Buka Konsol Security Center.
Di panel navigasi kiri, pilih Assets > Host.
Filter dan lihat status klien semua instans ECS.
- : Klien online.
- : Klien belum diinstal atau offline. Klien yang offline tidak dapat berkomunikasi dengan Security Center, kemungkinan karena instans dihentikan, proses klien tidak normal, atau terjadi masalah jaringan.

Periksa dengan pemindaian CSPM

Buka Konsol Security Center.
Di panel navigasi kiri, pilih Risk Governance > CSPM. Klik tab Cloud Service Configuration Risk. Temukan Ensure that all assets are installed with security agent dan klik Scan di kolom Actions.

Jika statusnya Gagal, Free Security Hardening tidak diaktifkan untuk beberapa instans. Klik Details untuk informasi lebih lanjut.

Blokir pembuatan instans tanpa Free Security Hardening

Gunakan kebijakan RAM di tingkat organisasi atau akun untuk memblokir pembuatan instans tanpa Free Security Hardening.

Untuk pengguna perusahaan:
1. Login ke Konsol Resource Directory. Di panel navigasi kiri, klik Control Policies. Buat kebijakan kustom dengan konten JSON berikut.
  
  Kebijakan ini menolak pembuatan instans ketika penguatan keamanan dinonaktifkan.
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": [
        "acs:ecs:*:*:instance/*"
      ],
      "Condition": {
        "StringEquals": {
          "ecs:SecurityEnhancementStrategy": "Deactive"
        }
      }
    }
  ]
}
```
2. Di Resource Directory, sambungkan kebijakan tersebut ke node target. Kebijakan ini akan memblokir pembuatan instans untuk semua akun di bawah node tersebut.
Untuk pengguna non-perusahaan:
1. Masuk ke Konsol RAM. Di panel navigasi sebelah kiri, klik Permission Policy, lalu buat kebijakan kustom dengan konten JSON yang sama seperti di atas.
2. Sambungkan kebijakan tersebut ke RAM user, Grup pengguna RAM, atau Peran RAM.

Instal agen Security Center pada instans yang tidak terlindungi

Kasus penggunaan 1: Instans memiliki akses jaringan dan Cloud Assistant Agent telah diinstal.

Login ke Konsol Security Center. Di panel navigasi kiri, pilih System Configurations > Feature Settings.
Klik tab Agent, lalu klik Agent Not Installed. Pilih instans target.
Klik tombol instalasi. Sistem akan menginstal agen Security Center melalui Cloud Assistant.
Buka Assets > Host dan verifikasi bahwa status klien adalah Online.

Kasus penggunaan 2: Instans mengalami masalah jaringan atau Cloud Assistant Agent belum diinstal. Instal agen Security Center secara manual pada instans tersebut.

Login ke Konsol Security Center. Di panel navigasi kiri, pilih System Configurations > Feature Settings. Klik tab Agent, lalu klik Installation Command.
Berdasarkan jenis OS instans Anda (misalnya CentOS, Ubuntu, atau Windows) dan jenis jaringan (jaringan internal VPC atau Internet), salin perintah instalasi yang sesuai.
Login ke instans ECS dan jalankan perintah instalasi yang telah disalin.
Setelah instalasi selesai, buka Assets > Host dan verifikasi bahwa status klien adalah Online.