Szenarien für mehrschichtige Abwehr entwerfen

Die Prüfung bevorzugt Defense in Depth: mehrere unabhängige Schichten, sodass andere Schichten den Workload weiterhin schützen, wenn eine ausfällt.

Keine einzelne Kontrolle reicht aus. Die beste Antwort kombiniert in der Regel Identity-, Netzwerk-, Daten- und Erkennungskontrollen, statt sich auf eine einzige zu verlassen.

Stapeln Sie am Netzwerk-Edge mehrere Schutzmaßnahmen:

• Shield absorbiert DDoS-Angriffe.
• WAF filtert bösartige Webanfragen.
• CloudFront beendet TLS und verringert die Angriffsfläche des Ursprungsservers.

Jede Schicht behandelt eine andere Bedrohungsklasse.

Kombinieren Sie innerhalb der VPC mehrere Kontrollen:

• Subnetzdesign isoliert die einzelnen Ebenen.
• NACLs schützen Subnetze zustandslos; Security Groups schützen Instanzen zustandsbehaftet.
• Network Firewall ergänzt eine tiefgehende Untersuchung und die Kontrolle des ausgehenden Datenverkehrs.

Auch Identity besteht aus mehreren Schichten:

• IAM-Richtlinien gewähren die geringsten erforderlichen Berechtigungen.
• Berechtigungsgrenzen beschränken, was Rollen überhaupt tun können.
• SCPs setzen eine kontenübergreifende Obergrenze für die Organisation.

Eine Aktion muss alle Schichten passieren, um erlaubt zu werden.

Schützen Sie Daten auf mehreren Ebenen:

• Verschlüsseln Sie sie im Ruhezustand (KMS) und während der Übertragung (TLS/ACM).
• Kontrollieren Sie Schlüssel streng und speichern Sie Secrets in Secrets Manager.
• Erkennen Sie sensible Daten mit Macie.

Selbst bei einem Einbruch in den Speicher bleiben verschlüsselte Daten geschützt.

Auch die Erkennung selbst besteht aus mehreren Schichten:

• GuardDuty für Bedrohungen, Config für Abweichungen und Flow Logs für Netzwerkanomalien.
• Security Hub bündelt die Ergebnisse, sodass nichts übersehen wird.

Mehrere Signale erkennen, was eine einzelne Quelle nicht erfasst.

Robuste Designs kombinieren präventive und detektive Kontrollen.

• Präventive Kontrollen (SCPs, Security Groups, Bucket Policies) verhindern unerwünschte Aktionen.
• Detektive Kontrollen (Config, GuardDuty, CloudTrail) erkennen, was diese Kontrollen passiert.

In der Prüfung werden häufig beide verlangt, nicht nur eine.

Eine öffentliche Webanwendung durchgängig absichern: CloudFront + WAF + Shield am Edge, ein ALB in öffentlichen Subnetzen, Anwendungsserver in privaten Subnetzen, eine mit KMS verschlüsselte Datenbank, Zugriff über IAM-Rollen, Secrets in Secrets Manager sowie Überwachung mit GuardDuty und CloudTrail.

Achten Sie auf Designs, die von einer einzigen Kontrolle abhängen, etwa einer einzelnen Security Group oder einem Bastion Host.

Die stärkste Antwort beseitigt einzelne Ausfallpunkte: keine offenen Ports (verwenden Sie SSM Session Manager), keine gemeinsam genutzten Schlüssel (verwenden Sie Rollen) und redundante Erkennung.

Ein mehrschichtiges Design bedeutet auch, den Schadensradius zu begrenzen, also den Schaden, der entsteht, wenn eine Kontrolle ausfällt.

• Getrennte Konten isolieren Workloads voneinander.
• Eingeschränkte Schlüssel und Rollen begrenzen, worauf ein einzelner kompromittierter Zugang zugreifen kann.

Die Prüfung bevorzugt Designs, bei denen ein Einbruch nicht zu einer vollständigen Kompromittierung führt.

Wenn mehrere Antworten „funktionieren“, wählen Sie diejenige, die am stärksten mehrschichtig ist, den geringsten Berechtigungsumfang hat und am stärksten verwaltet wird.

Von AWS verwaltete, automatisierte Defense-in-Depth-Lösungen sind in Prüfungsszenarien fast immer besser als manuelle Lösungen mit nur einer Schicht.

Wählen Sie das Design mit den meisten Schutzschichten aus.

Sie haben gelernt, mehrschichtige Abwehrmaßnahmen zu entwerfen.

• Stapeln Sie Kontrollen auf den Schichten Edge, Netzwerk, Identity, Daten und Erkennung.
• Kombinieren Sie präventive und detektive Kontrollen.
• Die beste Prüfungsantwort ist die am stärksten mehrschichtige, nach dem Prinzip der geringsten Berechtigung aufgebaute und von AWS verwaltete Lösung.