Kustomisasi Pemeriksaan Keamanan untuk AWS Cloud Control Provider dengan Checkov

Dalam lanskap cloud yang terus berkembang, keamanan menjadi perhatian utama bagi organisasi yang mengandalkan AWS. AWS Cloud Control Provider (CCP) menyederhanakan pengelolaan sumber daya di berbagai layanan AWS, tetapi memastikan bahwa sumber daya ini dikonfigurasi secara aman sangat penting. Di sinilah Checkov masuk – alat infrastruktur sebagai kode (IaC) yang populer yang memungkinkan Anda mendeteksi kesalahan konfigurasi dan pelanggaran keamanan di infrastruktur cloud Anda. Artikel ini membahas cara membuat pemeriksaan keamanan kustom untuk AWS CCP menggunakan Checkov, memastikan bahwa infrastruktur cloud Anda aman dan sesuai dengan standar keamanan organisasi.

Mengapa Pemeriksaan Keamanan Kustom untuk AWS CCP Penting?

Meskipun Checkov menyediakan serangkaian pemeriksaan keamanan bawaan yang komprehensif, pemeriksaan ini mungkin tidak selalu cukup untuk memenuhi persyaratan keamanan khusus atau peraturan kepatuhan. Pemeriksaan keamanan kustom memungkinkan Anda untuk:

• Menegakkan kebijakan keamanan organisasi: Pastikan bahwa konfigurasi sumber daya cloud Anda mematuhi standar dan kebijakan internal perusahaan Anda.
• Mengatasi celah keamanan khusus: Identifikasi dan perbaiki potensi kerentanan yang mungkin tidak tercakup oleh pemeriksaan bawaan Checkov.
• Mematuhi persyaratan peraturan: Pastikan bahwa infrastruktur cloud Anda mematuhi standar kepatuhan industri seperti HIPAA, PCI DSS, atau GDPR.
• Meningkatkan postur keamanan secara keseluruhan: Secara proaktif mengidentifikasi dan mengurangi risiko keamanan sebelum dieksploitasi.

Prasyarat

Sebelum memulai, pastikan Anda memiliki prasyarat berikut:

1. Akun AWS: Akses ke akun AWS dengan izin yang diperlukan untuk membuat dan mengelola sumber daya cloud.
2. AWS CLI: AWS Command Line Interface (CLI) diinstal dan dikonfigurasi di mesin Anda.
3. Python 3.6 atau lebih tinggi: Python diinstal di mesin Anda.
4. Pip: Manajer paket Python (pip) diinstal.
5. Checkov: Checkov diinstal dan dikonfigurasi. Anda dapat menginstalnya menggunakan pip:
   pip install checkov
6. Pemahaman dasar AWS CCP: Kefamiliaritas dengan konsep dan penggunaan AWS Cloud Control Provider.
7. Pemahaman dasar tentang Python: Keterampilan pemrograman Python dasar diperlukan untuk membuat pemeriksaan kustom.

Kerangka Kerja untuk Membuat Pemeriksaan Keamanan Kustom Checkov

Berikut adalah kerangka kerja langkah demi langkah untuk membuat pemeriksaan keamanan kustom untuk AWS CCP menggunakan Checkov:

1. Identifikasi Kebutuhan Pemeriksaan Keamanan: Tentukan kebijakan keamanan atau aturan yang ingin Anda terapkan.
2. Pahami Struktur Konfigurasi AWS CCP: Analisis konfigurasi sumber daya AWS CCP untuk mengidentifikasi atribut yang relevan untuk pemeriksaan Anda.
3. Tulis Kode Pemeriksaan Kustom: Buat file Python yang berisi logika untuk memeriksa konfigurasi sumber daya AWS CCP.
4. Daftarkan Pemeriksaan Kustom dengan Checkov: Beri tahu Checkov tentang pemeriksaan kustom Anda sehingga dapat dijalankan selama pemindaian.
5. Uji Pemeriksaan Kustom: Verifikasi bahwa pemeriksaan Anda berfungsi seperti yang diharapkan dengan mengujinya terhadap konfigurasi sumber daya AWS CCP.
6. Integrasikan dengan CI/CD Pipeline: Otomatiskan eksekusi pemeriksaan kustom Anda sebagai bagian dari pipeline Continuous Integration/Continuous Delivery (CI/CD) Anda.

Langkah Demi Langkah: Membuat Pemeriksaan Keamanan Kustom

Mari kita jelajahi proses pembuatan pemeriksaan keamanan kustom langkah demi langkah. Dalam contoh ini, kita akan membuat pemeriksaan yang memastikan bahwa semua grup keamanan memiliki deskripsi yang ditambahkan.

Langkah 1: Identifikasi Kebutuhan Pemeriksaan Keamanan

Dalam contoh ini, persyaratan keamanan kita adalah memastikan bahwa semua grup keamanan memiliki deskripsi. Ini adalah praktik terbaik untuk keamanan karena deskripsi membantu mengidentifikasi tujuan grup keamanan, sehingga mengurangi kemungkinan konfigurasi yang salah.

Langkah 2: Pahami Struktur Konfigurasi AWS CCP

Untuk memverifikasi bahwa grup keamanan memiliki deskripsi, kita perlu memeriksa atribut `Description` dalam konfigurasi sumber daya grup keamanan. AWS CCP merepresentasikan konfigurasi sumber daya dalam format JSON atau YAML. Anda dapat memeriksa dokumentasi AWS CCP untuk struktur sumber daya `AWS::EC2::SecurityGroup` untuk detail spesifik.

Langkah 3: Tulis Kode Pemeriksaan Kustom

Buat file Python baru (misalnya, `check_security_group_description.py`) di direktori yang ditentukan untuk pemeriksaan kustom Anda. Berikut adalah contoh kode yang memeriksa apakah grup keamanan memiliki deskripsi:

“`python
from checkov.common.models.enums import CheckResult, CheckCategories
from checkov.common.check_type import CheckType
from checkov.cloudformation.checks.resource.base_resource_check import BaseResourceCheck

class SecurityGroupDescription(BaseResourceCheck):
def __init__(self):
name = “Periksa apakah grup keamanan memiliki deskripsi”
id = “CUSTOM_AWS_SECURITY_GROUP_1” # Ganti dengan ID unik
supported_resources = [‘AWS::EC2::SecurityGroup’]
categories = [CheckCategories.NETWORKING]
super().__init__(name=name, id=id, categories=categories, supported_resources=supported_resources, check_type=CheckType.CLOUDFORMATION)

def scan_resource_conf(self, conf):
if ‘Properties’ in conf:
properties = conf[‘Properties’]
if ‘GroupDescription’ in properties:
description = properties[‘GroupDescription’]
if description:
return CheckResult.PASSED
return CheckResult.FAILED

check = SecurityGroupDescription()
“`

Penjelasan Kode:

• Import yang diperlukan: Impor kelas dan enum yang diperlukan dari perpustakaan Checkov.
• Definisi Kelas: Tentukan kelas yang diperluas dari `BaseResourceCheck`.
• __init__: Inisialisasi kelas dengan nama, ID, kategori, dan sumber daya yang didukung untuk pemeriksaan.
  • name: Nama deskriptif untuk pemeriksaan.
  • id: ID unik untuk pemeriksaan. Gunakan awalan ‘CUSTOM_’ untuk pemeriksaan kustom.
  • supported_resources: Daftar jenis sumber daya AWS CCP yang diterapkan oleh pemeriksaan ini.
  • categories: Daftar kategori tempat pemeriksaan ini jatuh.
• scan_resource_conf: Metode ini berisi logika untuk melakukan pemeriksaan. Ini menerima konfigurasi sumber daya sebagai input dan mengembalikan `CheckResult.PASSED` atau `CheckResult.FAILED` berdasarkan hasil pemeriksaan.
  • Periksa apakah kunci `Properties` ada dalam konfigurasi sumber daya.
  • Periksa apakah kunci `GroupDescription` ada di dalam `Properties`.
  • Jika `GroupDescription` ada, periksa apakah nilainya tidak kosong.
  • Kembalikan `CheckResult.PASSED` jika grup keamanan memiliki deskripsi; jika tidak, kembalikan `CheckResult.FAILED`.
• Instansiasi: Buat instans kelas pemeriksaan.

Langkah 4: Daftarkan Pemeriksaan Kustom dengan Checkov

Untuk membuat Checkov mengenali pemeriksaan kustom Anda, Anda perlu menambahkannya ke daftar pemeriksaan kustom Checkov. Ada beberapa cara untuk melakukan ini:

1. Menggunakan Variabel Lingkungan:
   • Setel variabel lingkungan `CKV_CUSTOM_CHECKS_PATH` ke direktori tempat file pemeriksaan kustom Anda disimpan.
   • Contoh:
     export CKV_CUSTOM_CHECKS_PATH=/path/to/your/custom/checks
2. Menggunakan Opsi Baris Perintah:
   • Gunakan opsi `-c` atau `–custom-checks-dir` saat menjalankan Checkov untuk menentukan direktori yang berisi pemeriksaan kustom Anda.
   • Contoh:
     checkov -f your_aws_ccp_template.yaml -c /path/to/your/custom/checks

Disarankan untuk menggunakan variabel lingkungan atau opsi baris perintah untuk menentukan lokasi pemeriksaan kustom Anda. Hal ini memastikan bahwa Checkov selalu mengetahui lokasi pemeriksaan kustom Anda, meskipun Anda menjalankan Checkov dari direktori yang berbeda.

Langkah 5: Uji Pemeriksaan Kustom

Untuk menguji pemeriksaan kustom Anda, Anda dapat menjalankan Checkov terhadap templat AWS CCP yang berisi sumber daya grup keamanan. Berikut adalah contoh templat AWS CCP:

“`yaml
Resources:
MySecurityGroup:
Type: AWS::EC2::SecurityGroup
Properties:
GroupDescription: Ini adalah grup keamanan untuk server web
VpcId: vpc-xxxxxxxxxxxxxxxxx
SecurityGroupIngress:
– IpProtocol: tcp
FromPort: 80
ToPort: 80
CidrIp: 0.0.0.0/0
“`

Simpan templat ini sebagai `your_aws_ccp_template.yaml` dan jalankan Checkov dengan opsi `-f` (file):

checkov -f your_aws_ccp_template.yaml

Jika pemeriksaan kustom Anda dikonfigurasi dengan benar, Checkov akan menyertakan hasilnya dalam output pemindaian. Jika grup keamanan memiliki deskripsi, pemeriksaan akan lulus. Jika tidak, pemeriksaan akan gagal.

Contoh Hasil:

Jika grup keamanan memiliki deskripsi:

“`
…
PASSED – [CUSTOM_AWS_SECURITY_GROUP_1] Periksa apakah grup keamanan memiliki deskripsi
Resource: MySecurityGroup
File: your_aws_ccp_template.yaml:3-12
…
“`

Jika grup keamanan tidak memiliki deskripsi:

“`
…
FAILED – [CUSTOM_AWS_SECURITY_GROUP_1] Periksa apakah grup keamanan memiliki deskripsi
Resource: MySecurityGroup
File: your_aws_ccp_template.yaml:3-12
…
“`

Langkah 6: Integrasikan dengan CI/CD Pipeline

Untuk memastikan bahwa pemeriksaan keamanan kustom Anda dijalankan secara teratur, Anda dapat mengintegrasikannya ke dalam pipeline CI/CD Anda. Ini memungkinkan Anda untuk mendeteksi dan memperbaiki kesalahan konfigurasi dan pelanggaran keamanan sejak awal dalam proses pengembangan.
Beberapa cara untuk mengintegrasikan Checkov ke dalam pipeline CI/CD Anda:

1. Menggunakan Checkov CLI:
   • Tambahkan Checkov sebagai langkah dalam pipeline CI/CD Anda untuk memindai templat IaC Anda.
   • Gunakan opsi `-f` atau `-d` untuk menentukan file atau direktori untuk dipindai.
   • Gunakan opsi `– выход` untuk menghasilkan hasil dalam format yang dapat diproses mesin.
   • Contoh (menggunakan GitLab CI):

     “`yaml
     stages:
     – validate

     validate_iac:
     stage: validate
     image: python:3.8
     before_script:
     – pip install checkov
     script:
     – checkov -f your_aws_ccp_template.yaml — выход json
     artifacts:
     reports:
     checkov: gl-checkov.json
     “`

2. Menggunakan GitHub Actions:
   • Gunakan tindakan Checkov GitHub untuk memindai templat IaC Anda secara otomatis saat kode didorong ke repositori Anda.
   • Tindakan Checkov GitHub tersedia di GitHub Marketplace.
   • Contoh:

     “`yaml
     name: Checkov Scan

     on: [push]

     jobs:
     checkov_scan:
     runs-on: ubuntu-latest
     steps:
     – uses: actions/checkout@v2
     – name: Run Checkov scan
     uses: bridgecrewio/github-action@v1.0.23
     with:
     directory: .
     “`

Contoh Pemeriksaan Keamanan Kustom Tambahan

Berikut adalah beberapa contoh pemeriksaan keamanan kustom tambahan yang dapat Anda buat untuk AWS CCP:

• Periksa apakah grup keamanan tidak terbuka untuk lalu lintas masuk 0.0.0.0/0 (semua lalu lintas) pada port sensitif seperti 22 (SSH) atau 3389 (RDP). Ini membantu mencegah akses yang tidak sah ke instans Anda.
• Periksa apakah Bucket S3 memiliki enkripsi diaktifkan. Ini memastikan bahwa data sensitif yang disimpan di Bucket S3 dienkripsi saat istirahat.
• Periksa apakah kebijakan IAM tidak memberikan hak istimewa yang terlalu luas. Ini membantu menerapkan prinsip hak istimewa paling rendah, yang mengurangi risiko akses yang tidak sah.
• Periksa apakah CloudTrail diaktifkan dan dikonfigurasi untuk pencatatan. Ini menyediakan jejak audit aktivitas di lingkungan AWS Anda, yang sangat penting untuk deteksi insiden dan kepatuhan.
• Periksa apakah aturan AWS Config diterapkan. AWS Config memungkinkan Anda untuk menilai, mengaudit, dan mengevaluasi konfigurasi sumber daya AWS Anda. Pemeriksaan kustom dapat memverifikasi bahwa aturan Config Anda diterapkan dan berjalan seperti yang diharapkan.

Contoh: Periksa untuk Grup Keamanan yang Terlalu Permisif

Berikut adalah contoh kode untuk memeriksa apakah grup keamanan tidak terbuka untuk lalu lintas masuk 0.0.0.0/0 pada port sensitif:

“`python
from checkov.common.models.enums import CheckResult, CheckCategories
from checkov.common.check_type import CheckType
from checkov.cloudformation.checks.resource.base_resource_check import BaseResourceCheck

class SecurityGroupUnrestrictedIngress(BaseResourceCheck):
def __init__(self):
name = “Periksa apakah grup keamanan tidak memiliki lalu lintas masuk yang tidak terbatas pada port sensitif”
id = “CUSTOM_AWS_SECURITY_GROUP_2”
supported_resources = [‘AWS::EC2::SecurityGroup’]
categories = [CheckCategories.NETWORKING]
super().__init__(name=name, id=id, categories=categories, supported_resources=supported_resources, check_type=CheckType.CLOUDFORMATION)

def scan_resource_conf(self, conf):
sensitive_ports = [22, 3389]
if ‘Properties’ in conf:
properties = conf[‘Properties’]
if ‘SecurityGroupIngress’ in properties:
ingress_rules = properties[‘SecurityGroupIngress’]
for rule in ingress_rules:
if ‘IpProtocol’ in rule and rule[‘IpProtocol’] == ‘tcp’:
if ‘FromPort’ in rule and ‘ToPort’ in rule and ‘CidrIp’ in rule:
from_port = rule[‘FromPort’]
to_port = rule[‘ToPort’]
cidr_ip = rule[‘CidrIp’]
if from_port in sensitive_ports and to_port in sensitive_ports and cidr_ip == ‘0.0.0.0/0’:
return CheckResult.FAILED
return CheckResult.PASSED

check = SecurityGroupUnrestrictedIngress()

“`

Contoh: Periksa untuk Enkripsi Bucket S3

Berikut adalah contoh kode untuk memeriksa apakah bucket S3 memiliki enkripsi yang diaktifkan:

“`python
from checkov.common.models.enums import CheckResult, CheckCategories
from checkov.common.check_type import CheckType
from checkov.cloudformation.checks.resource.base_resource_check import BaseResourceCheck

class S3BucketEncryption(BaseResourceCheck):
def __init__(self):
name = “Periksa apakah Bucket S3 memiliki enkripsi yang diaktifkan”
id = “CUSTOM_AWS_S3_1”
supported_resources = [‘AWS::S3::Bucket’]
categories = [CheckCategories.ENCRYPTION]
super().__init__(name=name, id=id, categories=categories, supported_resources=supported_resources, check_type=CheckType.CLOUDFORMATION)

def scan_resource_conf(self, conf):
if ‘Properties’ in conf:
properties = conf[‘Properties’]
if ‘BucketEncryption’ in properties:
return CheckResult.PASSED
return CheckResult.FAILED

check = S3BucketEncryption()
“`

Praktik Terbaik untuk Pemeriksaan Keamanan Kustom

Saat membuat pemeriksaan keamanan kustom, pertimbangkan praktik terbaik berikut:

• Buat pemeriksaan modular dan dapat digunakan kembali: Rancang pemeriksaan Anda sehingga dapat digunakan kembali di berbagai jenis sumber daya dan lingkungan.
• Gunakan nama dan deskripsi deskriptif: Pastikan bahwa nama dan deskripsi pemeriksaan Anda jelas dan ringkas.
• Berikan panduan remediasi yang jelas: Jika suatu pemeriksaan gagal, berikan panduan yang jelas dan ringkas tentang cara memperbaiki masalah tersebut.
• Uji pemeriksaan Anda secara menyeluruh: Uji pemeriksaan Anda terhadap berbagai konfigurasi sumber daya untuk memastikan bahwa mereka berfungsi seperti yang diharapkan.
• Jaga pemeriksaan Anda tetap terbarui: Tinjau dan perbarui pemeriksaan Anda secara teratur untuk memastikan bahwa mereka terus efektif karena lingkungan cloud Anda berkembang.
• Dokumentasikan pemeriksaan kustom Anda: Berikan dokumentasi yang jelas dan komprehensif untuk pemeriksaan kustom Anda, termasuk tujuan, logika, dan setiap prasyarat. Ini membuat pemeriksaan Anda lebih mudah dipahami dan dipelihara.
• Gunakan Pengelogan dan Penelusuran Kesalahan: Tambahkan pernyataan pengelogan ke kode pemeriksaan kustom Anda untuk membantu penelusuran kesalahan dan memecahkan masalah. Ini sangat berguna saat pemeriksaan tidak berperilaku seperti yang diharapkan.
• Tangani Pengecualian dengan anggun: Implementasikan penanganan pengecualian untuk mencegah pemeriksaan Anda mogok jika menemukan kesalahan tak terduga. Catat pengecualian dan kembalikan hasil yang gagal daripada menghentikan pemindaian.
• Pertimbangkan Dampak Kinerja: Pemeriksaan kustom dapat berdampak pada kinerja pemindaian Checkov. Optimalkan kode Anda agar efisien dan hindari operasi yang memakan waktu.
• Manfaatkan Konteks Checkov: Checkov menyediakan konteks yang dapat berguna dalam pemeriksaan kustom Anda, seperti informasi tentang file yang dipindai. Manfaatkan konteks ini untuk meningkatkan kemampuan pemeriksaan Anda.
• Gunakan Pengujian Berbasis Properti: Pertimbangkan untuk menggunakan pengujian berbasis properti untuk memvalidasi perilaku pemeriksaan kustom Anda terhadap berbagai input. Ini dapat membantu mengidentifikasi kasus sudut dan potensi kesalahan.

Memecahkan Masalah Pemeriksaan Keamanan Kustom

Jika pemeriksaan keamanan kustom Anda tidak berfungsi seperti yang diharapkan, pertimbangkan tips pemecahan masalah berikut:

• Periksa log Checkov: Log Checkov dapat memberikan informasi berharga tentang mengapa pemeriksaan Anda gagal.
• Gunakan debugger: Gunakan debugger untuk menelusuri kode pemeriksaan Anda dan mengidentifikasi masalah apa pun.
• Sederhanakan pemeriksaan Anda: Jika pemeriksaan Anda kompleks, coba sederhanakan untuk mengisolasi masalah tersebut.
• Konsultasikan dokumentasi Checkov: Dokumentasi Checkov berisi informasi terperinci tentang cara membuat pemeriksaan kustom.
• Cari bantuan dari komunitas Checkov: Komunitas Checkov dapat memberikan bantuan dan dukungan jika Anda mengalami kesulitan.
• Verifikasi Sintaks: Pastikan bahwa kode Python Anda bebas dari kesalahan sintaks. Kesalahan sintaks dapat mencegah pemeriksaan kustom Anda dimuat atau dijalankan dengan benar.
• Periksa ID Pemeriksaan: Pastikan ID pemeriksaan kustom Anda unik dan mengikuti konvensi penamaan Checkov (misalnya, mulai dengan `CUSTOM_`). ID duplikat dapat menyebabkan konflik dan perilaku tak terduga.
• Verifikasi Jenis Sumber Daya yang Didukung: Pastikan bahwa jenis sumber daya yang didukung yang Anda tentukan dalam pemeriksaan kustom Anda sesuai dengan jenis sumber daya AWS CCP yang ingin Anda pindai.
• Periksa Struktur Konfigurasi: Pastikan bahwa Anda mengakses atribut konfigurasi yang benar di kode pemeriksaan kustom Anda. Struktur konfigurasi dapat bervariasi tergantung pada jenis sumber daya AWS CCP.
• Verifikasi Kategori Pemeriksaan: Pastikan bahwa kategori pemeriksaan yang Anda tetapkan untuk pemeriksaan kustom Anda sesuai dengan kategori keamanan yang ingin Anda cakup.

Kesimpulan

Membuat pemeriksaan keamanan kustom untuk AWS Cloud Control Provider dengan Checkov memungkinkan Anda untuk menerapkan kebijakan keamanan organisasi Anda, mengatasi celah keamanan khusus, dan mematuhi persyaratan peraturan. Dengan mengikuti langkah-langkah yang diuraikan dalam artikel ini, Anda dapat meningkatkan postur keamanan infrastruktur cloud Anda dan secara proaktif mengurangi risiko keamanan. Ingatlah untuk menggunakan praktik terbaik dan menguji pemeriksaan Anda secara menyeluruh untuk memastikan efektivitasnya.

Dengan memanfaatkan kekuatan Checkov dan pemeriksaan kustom, Anda dapat membangun infrastruktur cloud yang aman dan tangguh yang melindungi data dan aplikasi sensitif Anda. Seiring dengan evolusi cloud, penting untuk terus memperbarui dan menyempurnakan pemeriksaan keamanan Anda untuk mengatasi ancaman dan kerentanan baru.

Selamat mengamankan cloud Anda dengan Checkov!