Este curso responde a uma questão prática de segurança: qual principal (entidade) pode realizar qual ação em qual recurso da AWS, e qual limite determina isso? Criaremos uma linha de base replicável para prevenir o uso indevido, detectar evidências e responder a incidentes, sem confundir as responsabilidades da AWS com as do cliente.
O modelo de responsabilidade compartilhada separa a segurança da nuvem da segurança na nuvem. A AWS protege as instalações, o hardware, a rede e a infraestrutura de virtualização que operam os serviços da AWS. Os clientes protegem as cargas de trabalho, os dados, as identidades, as configurações e as obrigações de conformidade aplicáveis.
O serviço selecionado altera a carga de trabalho do cliente. Com o Amazon Elastic Compute Cloud, os clientes gerenciam a aplicação de patches no sistema operacional convidado, o software de aplicação e a configuração de grupos de segurança. Com o Amazon Simple Storage Service, a AWS opera a infraestrutura e a plataforma. Os clientes ainda classificam os dados, selecionam opções de criptografia e aplicam permissões de acesso.
Regra reutilizável Atribua cada controle à camada que pode realmente alterar o risco. Uma infraestrutura gerenciada não elimina a responsabilidade do cliente pela configuração.
Uma conta da AWS é um limite de isolamento para recursos, faturamento e muitas permissões. Uma Região é um limite geográfico de implantação. O Identity and Access Management (IAM) avalia o principal, a ação solicitada, o recurso de destino e as condições relevantes antes que a AWS autorize uma solicitação.
Uma linha de base começa registrando quais contas possuem dados de produção, quais Regiões os contêm e quais identidades podem acessá-los. Credenciais temporárias e o princípio de privilégio mínimo reduzem o impacto da exposição de credenciais. A localização na rede e a criptografia restringem, então, as rotas e as operações de dados que as identidades podem utilizar.
Vamos examinar como os limites de conta, Região, identidade e recurso restringem uma solicitação.
Uma linha de base de segurança é o conjunto mínimo de controles que estabelece acesso rastreável, proteção de dados, registro de atividades e preparação para resposta. Controles preventivos restringem uma solicitação insegura antes que ela seja bem-sucedida. Controles detectivos geram evidências de comportamento suspeito ou desvio de configuração. Controles de resposta contêm eventos confirmados e permitem a recuperação deles.
As permissões do IAM fornecem uma base de identidade. Controles de rede limitam os caminhos permitidos. Criptografia e controles de acesso protegem dados em repouso e em trânsito. Registro de logs e detecção criam rastreabilidade. Nenhuma camada isolada comprova que a carga de trabalho é segura; portanto, cada camada deve abordar um modo de falha distinto.
Vamos examinar as camadas de controle que conectam prevenção, detecção e resposta.