دليل عملي لتقوية خوادم AWS يشمل الهوية والوصول وSession Manager وتقليل التعرض والتحديث والتشفير والمراقبة والاستعادة.
قبل تغيير القواعد أو تثبيت أدوات جديدة، حدد وظيفة الخادم ومالكه والبيانات التي يتعامل معها والمنافذ المطلوبة وطريقة إعادة بنائه. إذا لم تكن هذه المعلومات واضحة، فالأولوية الأولى هي الجرد وليس إضافة أدوات أمنية.
الخادم القوي يمكن أن يتعرض للخطر إذا كانت صلاحيات AWS واسعة أو طويلة الأجل. استخدم MFA للحساب الجذري، وفضّل الهويات الموحدة أو IAM Identity Center للبشر، واستخدم IAM roles لأحمال العمل بدلاً من مفاتيح وصول مخزنة على الخادم.
يفضل استخدام AWS Systems Manager Session Manager للإدارة لأنه لا يحتاج إلى فتح منفذ SSH على الإنترنت، ويمكن التحكم في الوصول عبر IAM وتسجيل الجلسات عند تهيئتها. إذا بقي SSH مطلوباً، فقيّده بعناوين موثوقة وأوقف الدخول بكلمة مرور والدخول المباشر بحساب root.
يجب أن تعكس Security Groups أقل حركة لازمة فقط. أبق قواعد البيانات والخدمات الداخلية في شبكات خاصة، وافتح HTTP أو HTTPS فقط حيث يلزم. اختبر ثم فعّل IMDSv2 على الخوادم المتوافقة لتقليل مخاطر الوصول غير المرغوب إلى بيانات metadata.
استخدم نظام تشغيل مدعوماً، وأزل الخدمات غير المستخدمة، وعرّف عملية تصحيح واضحة باستخدام Patch Manager أو سير عمل موثق. فعّل تشفير EBS، ولا تخزن مفاتيح AWS أو الأسرار داخل ملفات التطبيق أو المستودع البرمجي.
أرسل السجلات المهمة إلى وجهة مركزية ذات احتفاظ وصلاحيات حذف مقيدة. راجع CloudTrail وGuardDuty وInspector وسجلات النظام والتطبيق. لا تعتبر النسخ الاحتياطية مكتملة حتى يتم اختبار الاستعادة وتسجيل النتيجة.
صف الوضع الحالي والهدف، وسنراجع المعلومات ونقترح الأولويات والخطوة المناسبة دون ضغط.