یہ کورس سیکیورٹی سے متعلق ایک عملی سوال کا جواب دیتا ہے: کون سا ‘پرنسپل’ (صارف یا سروس) کسی AWS ریسورس پر کون سا عمل انجام دے سکتا ہے، اور اس کا فیصلہ کون سی حد (boundary) کرتی ہے؟ ہم غلط استعمال کی روک تھام، شواہد کا پتہ لگانے، اور ردعمل ظاہر کرنے کے لیے ایک قابلِ اعادہ (repeatable) بیس لائن تشکیل دیں گے، جس میں AWS کی ذمہ داریوں اور کسٹمر کی ذمہ داریوں کو آپس میں خلط ملط نہیں کیا جائے گا۔
مشترکہ ذمہ داری کا ماڈل کلاؤڈ کی سیکیورٹی (cloud security) اور کلاؤڈ کے اندر کی سیکیورٹی (security in the cloud) کے درمیان فرق کرتا ہے۔ AWS ان سہولیات، ہارڈ ویئر، نیٹ ورکنگ، اور ورچوئلائزیشن انفراسٹرکچر کی حفاظت کرتا ہے جو AWS سروسز کو چلاتے ہیں۔ صارفین ورک لوڈز، ڈیٹا، شناختوں (identities)، کنفیگریشنز، اور قابلِ اطلاق تعمیلی تقاضوں (compliance obligations) کی حفاظت کرتے ہیں۔
منتخب کردہ سروس کسٹمر کے ورک لوڈ کو تبدیل کرتی ہے۔ Amazon Elastic Compute Cloud کے معاملے میں، صارفین گیسٹ آپریٹنگ سسٹم کی پیچنگ (patching)، ایپلیکیشن سافٹ ویئر، اور سیکیورٹی گروپ کی کنفیگریشن کا انتظام کرتے ہیں۔ Amazon Simple Storage Service کے معاملے میں، AWS انفراسٹرکچر اور پلیٹ فارم کو چلاتا ہے، جبکہ صارفین ڈیٹا کی درجہ بندی کرتے ہیں، انکرپشن کے اختیارات منتخب کرتے ہیں، اور رسائی کی اجازتیں (access permissions) لاگو کرتے ہیں۔
قابلِ استعمال اصول ہر کنٹرول (سیکیورٹی اقدام) کو اس پرت (layer) کے سپرد کریں جو درحقیقت خطرے کو تبدیل کر سکتی ہے۔ ‘مینیجڈ انفراسٹرکچر’ (انتظام شدہ بنیادی ڈھانچہ) ہونے کا مطلب یہ نہیں کہ کسٹمر کی کنفیگریشن کی ذمہ داری ختم ہو جاتی ہے۔
AWS اکاؤنٹ وسائل، بلنگ، اور بہت سی اجازتوں کے لیے علیحدگی کی ایک حد (isolation boundary) ہے۔ ریجن (Region) تعیناتی کی ایک جغرافیائی حد ہے۔ Identity and Access Management (IAM) اس بات کا جائزہ لیتا ہے کہ آیا AWS کی جانب سے کسی درخواست کی منظوری (authorization) سے قبل پرنسپل، مطلوبہ عمل، ہدف ریسورس، اور متعلقہ شرائط کیا ہیں۔
بیس لائن کا آغاز اس بات کو ریکارڈ کرنے سے ہوتا ہے کہ کن اکاؤنٹس کی ملکیت میں پروڈکشن ڈیٹا ہے، کن ریجنز میں یہ موجود ہے، اور کون سی شناختیں (identities) اس تک رسائی حاصل کر سکتی ہیں۔ عارضی اسناد (temporary credentials) اور ‘کم سے کم استحقاق’ (least privilege) کا اصول اسناد کے افشا ہونے کے اثرات کو کم کرتے ہیں۔ اس کے بعد نیٹ ورک پلیسمنٹ اور انکرپشن ان راستوں اور ڈیٹا آپریشنز کو محدود کرتے ہیں جنہیں شناختیں استعمال کر سکتی ہیں۔
آئیے جائزہ لیتے ہیں کہ اکاؤنٹ، ریجن، شناخت، اور ریسورس کی حدود کس طرح کسی درخواست کے دائرہ کار کو محدود یا متعین کرتی ہیں۔
سیکیورٹی بیس لائن (Security baseline) کنٹرولز کا وہ کم از کم مجموعہ ہے جو جوابدہ رسائی، محفوظ ڈیٹا، ریکارڈ شدہ سرگرمی اور ردعمل کی تیاری کو یقینی بناتا ہے۔ حفاظتی کنٹرولز (Preventive controls) کسی غیر محفوظ درخواست کو کامیاب ہونے سے پہلے ہی روک دیتے ہیں۔ سراغ رساں کنٹرولز (Detective controls) مشکوک رویے یا کنفیگریشن میں غیر متوقع تبدیلی (configuration drift) کے شواہد فراہم کرتے ہیں۔ ردعمل کے کنٹرولز (Response controls) تصدیق شدہ واقعات کے اثرات کو محدود کرتے ہیں اور ان سے بحالی کا عمل انجام دیتے ہیں۔
IAM کی اجازتیں (permissions) شناخت کی بنیاد فراہم کرتی ہیں۔ نیٹ ورک کنٹرولز مجاز راستوں کو محدود کرتے ہیں۔ انکرپشن اور رسائی کے کنٹرولز ڈیٹا کو ساکن حالت (at rest) اور منتقلی کے دوران (in transit) محفوظ رکھتے ہیں۔ لاگنگ اور سراغ رسانی کا عمل ٹریس ایبلٹی (قابلِ سراغ ہونے کی صلاحیت) پیدا کرتا ہے۔ کوئی ایک تہہ اکیلے یہ ثابت نہیں کر سکتی کہ ورک لوڈ محفوظ ہے، لہذا ہر تہہ کو ناکامی کے کسی مخصوص پہلو (failure mode) سے نمٹنا چاہیے۔
آئیے ان کنٹرول لیئرز (تہوں) کا جائزہ لیتے ہیں جو روک تھام، سراغ رسانی اور ردعمل کے عمل کو آپس میں جوڑتی ہیں۔