c3.12 Construir um pipeline de golden images
Automatize a criação de "golden images" endurecidas a partir do SO mais recente e com patches, com os agentes necessários pré-instalados, e imponha que apenas imagens aprovadas sejam usadas. O EC2 Image Builder torna isso repetível sem custo adicional.
Guia de implementação
O que um pipeline de golden images produz
Automatize um pipeline que construa as imagens base usadas para implantar suas aplicações: 1. Comece pelo SO mais recente com todos os patches aplicados. 2. Aplique hardening de configuração conforme suas políticas (por exemplo benchmarks do CIS). 3. Pré-instale os agentes necessários: anti-malware, monitoramento de integridade de arquivos e especialmente o agente do AWS Systems Manager (SSM). Note que muitas AMIs da AWS (Amazon Linux, Windows) vêm com o agente SSM pré-instalado.
Construa com o EC2 Image Builder
O EC2 Image Builder automatiza a construção, o hardening, os testes e a distribuição de imagens. Opções de terceiros como o HashiCorp Packer também funcionam. Imponha que apenas imagens aprovadas sejam executadas usando as regras do AWS Config approved-amis-by-id ou approved-amis-by-tag.
Como validar
- Você implementou um pipeline de golden images?
- Ele é amplamente adotado na organização?
- Você impõe que apenas imagens aprovadas sejam usadas (por exemplo via AWS Config)?
Ameaças atendidas
- Sem um pipeline de golden images, o hardening do SO sofre desvios e persiste o SO ou middleware sem patch, permitindo que um adversário explore uma aplicação exposta para o acesso inicial.
Serviços AWS
EC2 Image Builder 
AWS Config 
AWS Systems Manager Preços
O EC2 Image Builder é gratuito; você paga apenas pelos recursos usados para construir e armazenar as imagens. Veja os preços do EC2 Image Builder.