تصميم سيناريوهات الدفاع متعدد الطبقات

يفضل الامتحان الدفاع متعدد الطبقات: طبقات متعددة مستقلة بحيث تواصل الطبقات الأخرى حماية عبء العمل إذا تعطلت إحداها.

لا يكفي أي عنصر تحكم واحد. وعادةً ما تجمع الإجابة الأفضل بين عناصر تحكم الهوية والشبكة والبيانات والاكتشاف بدلًا من الاعتماد على عنصر واحد.

عند طرف الشبكة، اجمعوا طبقات الحماية:

• يمتص Shield تدفقات DDoS.
• يرشح WAF طلبات الويب الضارة.
• ينهي CloudFront جلسات TLS ويقلل تعرض المصدر.

تتعامل كل طبقة مع فئة مختلفة من التهديدات.

داخل VPC، اجمعوا عناصر التحكم:

• يعزل تصميم الشبكات الفرعية الطبقات.
• تحمي NACLs الشبكات الفرعية دون الاحتفاظ بحالة؛ بينما تحمي مجموعات الأمان المثيلات مع الاحتفاظ بالحالة.
• يضيف Network Firewall فحصًا عميقًا وتحكمًا في حركة الخروج.

للهوية طبقاتها الخاصة:

• تمنح سياسات IAM أقل قدر من الصلاحيات اللازمة.
• تضع حدود الأذونات سقفًا لما يمكن للأدوار فعله على الإطلاق.
• تحدد SCPs سقفًا على مستوى المؤسسة.

يجب أن يجتاز الإجراء جميع الطبقات حتى يُسمح به.

احموا البيانات من جوانب متعددة:

• شفّروا البيانات الساكنة (KMS) والمنقولة (TLS/ACM).
• أحكموا التحكم في المفاتيح وخزّنوا الأسرار في Secrets Manager.
• اكتشفوا البيانات الحساسة باستخدام Macie.

حتى إذا اختُرقت وحدة التخزين، تظل البيانات المشفرة محمية.

الاكتشاف نفسه متعدد الطبقات:

• يُستخدم GuardDuty للتهديدات، وConfig لاكتشاف الانحراف، وFlow Logs لاكتشاف الحالات الشاذة في الشبكة.
• يجمع Security Hub النتائج حتى لا يفوتكم شيء.

تلتقط الإشارات المتعددة ما قد يفوته أي مصدر منفرد.

تجمع التصميمات القوية بين الضوابط الوقائية والكاشفة.

• تمنع الضوابط الوقائية (SCPs ومجموعات الأمان وسياسات الحاويات) الإجراءات غير المرغوبة.
• تكتشف الضوابط الكاشفة (Config وGuardDuty وCloudTrail) ما يتجاوز تلك الضوابط.

غالبًا ما يتطلب الامتحان كلا النوعين، لا نوعًا واحدًا فقط.

لتأمين تطبيق ويب عام من البداية إلى النهاية: CloudFront + WAF + Shield عند الطرف الحدودي، وALB في الشبكات الفرعية العامة، وخوادم التطبيق في الشبكات الفرعية الخاصة، وقاعدة بيانات مشفرة باستخدام KMS، والوصول عبر أدوار IAM، والأسرار في Secrets Manager، والمراقبة باستخدام GuardDuty وCloudTrail.

انتبهوا إلى التصميمات التي تعتمد على عنصر تحكم واحد، مثل مجموعة أمان واحدة أو مضيف bastion.

تزيل الإجابة الأقوى نقاط الفشل المفردة: لا منافذ مفتوحة (استخدموا SSM Session Manager)، ولا مفاتيح مشتركة (استخدموا الأدوار)، مع اكتشاف زائد عن الحاجة.

يعني التصميم متعدد الطبقات أيضًا الحد من نطاق الانفجار، أي الضرر الناتج إذا تعطل عنصر تحكم واحد.

• تعزل الحسابات المنفصلة أعباء العمل عن بعضها.
• تحد المفاتيح والأدوار المقيدة من نطاق ما يمكن لاختراق واحد الوصول إليه.

يفضل الامتحان التصميمات التي لا يؤدي فيها اختراق واحد إلى اختراق شامل متسلسل.

عندما تكون عدة إجابات «صالحة»، اختاروا الإجابة الأكثر تعددًا في طبقات الحماية، والأقل صلاحيات، والأكثر اعتمادًا على الخدمات المُدارة.

تكاد الحلول المُدارة من AWS والمؤتمتة والمبنية على الدفاع متعدد الطبقات تتفوق دائمًا على الحلول اليدوية أحادية الطبقة في سيناريوهات الامتحان.

لقد تعلمتم تصميم دفاعات متعددة الطبقات.

• اجمعوا عناصر التحكم في طبقات الطرف الحدودي والشبكة والهوية والبيانات والاكتشاف.
• اجمعوا بين الضوابط الوقائية والكاشفة.
• أفضل إجابة في الامتحان هي الحل الأكثر تعددًا في طبقات الحماية، والأقل صلاحيات، والمعتمد على خدمات AWS المُدارة.