यह कोर्स सुरक्षा से जुड़े एक व्यावहारिक सवाल का जवाब देता है। कौन सा प्रिंसिपल (यूज़र या सर्विस) किस AWS रिसोर्स पर कौन सा एक्शन ले सकता है, और यह कौन सी सीमा तय करती है? हम गलत इस्तेमाल को रोकने, सबूतों का पता लगाने और AWS की ज़िम्मेदारियों को कस्टमर की ज़िम्मेदारियों के साथ मिलाए बिना प्रतिक्रिया देने के लिए एक दोहराने योग्य बेसलाइन बनाएंगे।
साझा ज़िम्मेदारी मॉडल क्लाउड की सुरक्षा को क्लाउड के अंदर की सुरक्षा से अलग करता है। AWS उन सुविधाओं, हार्डवेयर, नेटवर्किंग और वर्चुअलाइज़ेशन इंफ्रास्ट्रक्चर की सुरक्षा करता है जो AWS सेवाओं को चलाते हैं। कस्टमर वर्कलोड, डेटा, आइडेंटिटी, कॉन्फ़िगरेशन और लागू होने वाली अनुपालन (compliance) शर्तों की सुरक्षा करते हैं।
चुनी गई सेवा कस्टमर के वर्कलोड को बदल देती है। Amazon Elastic Compute Cloud के साथ, कस्टमर गेस्ट ऑपरेटिंग सिस्टम पैचिंग, एप्लिकेशन सॉफ़्टवेयर और सिक्योरिटी ग्रुप कॉन्फ़िगरेशन को मैनेज करते हैं। Amazon Simple Storage Service के साथ, AWS इंफ्रास्ट्रक्चर और प्लेटफ़ॉर्म को चलाता है। कस्टमर फिर भी डेटा को क्लासिफ़ाई करते हैं, एन्क्रिप्शन विकल्प चुनते हैं और एक्सेस परमिशन लागू करते हैं।
दोबारा इस्तेमाल होने वाला नियम हर कंट्रोल को उस लेयर को सौंपें जो असल में जोखिम को बदल सकती है। मैनेज्ड इंफ्रास्ट्रक्चर कस्टमर की कॉन्फ़िगरेशन ज़िम्मेदारी को खत्म नहीं करता है।
एक AWS अकाउंट रिसोर्स, बिलिंग और कई परमिशन के लिए एक अलग सीमा (आइसोलेशन बाउंड्री) है। एक रीजन भौगोलिक डिप्लॉयमेंट की सीमा है। AWS द्वारा किसी अनुरोध को अधिकृत करने से पहले, Identity and Access Management (IAM) प्रिंसिपल, अनुरोधित एक्शन, टारगेट रिसोर्स और संबंधित शर्तों का मूल्यांकन करता है।
एक बेसलाइन इस बात को रिकॉर्ड करके शुरू होती है कि किन अकाउंट के पास प्रोडक्शन डेटा है, किन रीजन में यह मौजूद है, और कौन सी आइडेंटिटी इसे एक्सेस कर सकती हैं। अस्थायी क्रेडेंशियल और ‘कम से कम विशेषाधिकार’ (least privilege) क्रेडेंशियल के एक्सपोज़र के असर को कम करते हैं। नेटवर्क प्लेसमेंट और एन्क्रिप्शन उन रास्तों और डेटा ऑपरेशन्स को सीमित करते हैं जिनका इस्तेमाल आइडेंटिटी कर सकती हैं।
आइए देखें कि अकाउंट, रीजन, आइडेंटिटी और रिसोर्स की सीमाएं किसी अनुरोध को कैसे नियंत्रित करती हैं।
सिक्योरिटी बेसलाइन कंट्रोल का वह कम-से-कम सेट है जो जवाबदेह एक्सेस, सुरक्षित डेटा, रिकॉर्ड की गई गतिविधि और तैयार रिस्पॉन्स सुनिश्चित करता है। प्रिवेंटिव कंट्रोल किसी असुरक्षित अनुरोध को सफल होने से पहले ही रोक देते हैं। डिटेक्टिव कंट्रोल संदिग्ध व्यवहार या कॉन्फ़िगरेशन में बदलाव (ड्रिफ्ट) के सबूत देते हैं। रिस्पॉन्स कंट्रोल पुष्टि की गई घटनाओं को नियंत्रित करते हैं और उनसे उबरने में मदद करते हैं।
IAM अनुमतियाँ (परमिशन) पहचान का आधार प्रदान करती हैं। नेटवर्क कंट्रोल अनुमत रास्तों को सीमित करते हैं। एन्क्रिप्शन और एक्सेस कंट्रोल डेटा को ‘एट रेस्ट’ (स्टोर किए गए डेटा) और ‘इन ट्रांज़िट’ (ट्रांसफर हो रहे डेटा) दोनों स्थितियों में सुरक्षित रखते हैं। लॉगिंग और डिटेक्शन से ट्रेसिबिलिटी (ट्रैक करने की क्षमता) बनती है। कोई भी एक लेयर यह साबित नहीं करती कि वर्कलोड सुरक्षित है, इसलिए हर लेयर को विफलता के एक अलग तरीके (फेलियर मोड) को संबोधित करना चाहिए।
आइए उन कंट्रोल लेयर्स की जाँच करें जो रोकथाम (प्रिवेंशन), पता लगाने (डिटेक्शन) और प्रतिक्रिया (रिस्पॉन्स) को जोड़ती हैं।