Este curso responde a una pregunta práctica de seguridad: ¿qué entidad (principal) puede realizar qué acción sobre qué recurso de AWS, y qué límite determina esto? Crearemos una línea base replicable para prevenir el uso indebido, detectar indicios y responder a incidentes, sin confundir las responsabilidades de AWS con las del cliente.
El modelo de responsabilidad compartida distingue entre la seguridad de la nube y la seguridad en la nube. AWS protege las instalaciones, el hardware, la red y la infraestructura de virtualización que hacen funcionar los servicios de AWS. Los clientes protegen las cargas de trabajo, los datos, las identidades, las configuraciones y el cumplimiento de las obligaciones normativas aplicables.
El servicio seleccionado determina la carga de trabajo del cliente. Con Amazon Elastic Compute Cloud, los clientes gestionan la aplicación de parches en el sistema operativo invitado, el software de aplicación y la configuración de los grupos de seguridad. Con Amazon Simple Storage Service, AWS opera la infraestructura y la plataforma; no obstante, los clientes siguen clasificando los datos, seleccionando las opciones de cifrado y aplicando los permisos de acceso.
Regla reutilizable Asigne cada control a la capa que realmente pueda modificar el riesgo. El uso de infraestructura gestionada no exime al cliente de su responsabilidad en la configuración.
Una cuenta de AWS actúa como límite de aislamiento para recursos, facturación y muchos permisos. Una Región constituye un límite geográfico de despliegue. El servicio de Gestión de Identidad y Acceso (IAM) evalúa la entidad (principal), la acción solicitada, el recurso de destino y las condiciones pertinentes antes de que AWS autorice una solicitud.
Una línea base comienza registrando qué cuentas poseen los datos de producción, qué Regiones los albergan y qué identidades pueden acceder a ellos. El uso de credenciales temporales y el principio de menor privilegio reducen el impacto de una posible exposición de credenciales. Asimismo, la ubicación en la red y el cifrado limitan las rutas y las operaciones con datos que las identidades pueden utilizar.
Analicemos cómo los límites de cuenta, Región, identidad y recurso acotan una solicitud.
Una línea base de seguridad es el conjunto mínimo de controles que garantiza un acceso sujeto a rendición de cuentas, la protección de datos, el registro de actividades y una capacidad de respuesta preparada. Los controles preventivos restringen las solicitudes inseguras antes de que se ejecuten con éxito. Los controles de detección generan evidencia de comportamientos sospechosos o desviaciones en la configuración. Los controles de respuesta permiten contener los incidentes confirmados y recuperarse de ellos.
Los permisos de IAM proporcionan una base para la gestión de identidades. Los controles de red limitan las rutas permitidas. El cifrado y los controles de acceso protegen los datos tanto en reposo como en tránsito. El registro de eventos y la detección garantizan la trazabilidad. Ninguna capa por sí sola garantiza la seguridad de la carga de trabajo; por ello, cada capa debe abordar un modo de fallo específico.
Analicemos las capas de control que conectan la prevención, la detección y la respuesta.