c3.12 Construir un pipeline de golden images
Automatice la creación de "golden images" endurecidas a partir del SO más reciente y parcheado, con los agentes requeridos preinstalados, y haga cumplir que solo se usen imágenes aprobadas. EC2 Image Builder lo hace repetible sin costo adicional.
Guía de implementación
Qué produce un pipeline de golden images
Automatice un pipeline que construya las imágenes base usadas para desplegar sus aplicaciones: 1. Parta del SO más reciente con todos los parches aplicados. 2. Aplique hardening de configuración según sus políticas (por ejemplo benchmarks de CIS). 3. Preinstale los agentes requeridos: anti-malware, monitoreo de integridad de archivos y especialmente el agente de AWS Systems Manager (SSM). Note que muchas AMIs de AWS (Amazon Linux, Windows) vienen con el agente SSM preinstalado.
Construya con EC2 Image Builder
EC2 Image Builder automatiza la construcción, el hardening, las pruebas y la distribución de imágenes. Opciones de terceros como HashiCorp Packer también funcionan. Haga cumplir que solo se ejecuten imágenes aprobadas usando las reglas de AWS Config approved-amis-by-id o approved-amis-by-tag.
Cómo validar
- ¿Ha implementado un pipeline de golden images?
- ¿Está ampliamente adoptado en la organización?
- ¿Hace cumplir que solo se usen imágenes aprobadas (por ejemplo vía AWS Config)?
Amenazas que atiende
- Sin un pipeline de golden images, el hardening del SO se desvía y persiste el SO o middleware sin parchear, permitiendo que un adversario explote una aplicación expuesta para el acceso inicial.
Servicios AWS
EC2 Image Builder 
AWS Config 
AWS Systems Manager Precios
EC2 Image Builder es gratuito; solo paga por los recursos usados para construir y almacenar las imágenes. Vea precios de EC2 Image Builder.