Diseño de escenarios de defensa por capas

El examen favorece la defensa en profundidad: varias capas independientes para que, si una falla, las demás sigan protegiendo la carga de trabajo.

Ningún control individual es suficiente. La mejor respuesta suele combinar controles de identidad, red, datos y detección en lugar de depender de uno solo.

En el perímetro de la red, combine varias protecciones:

• Shield absorbe las avalanchas de DDoS.
• WAF filtra las solicitudes web maliciosas.
• CloudFront termina TLS y reduce la exposición del origen.

Cada capa gestiona una clase de amenaza diferente.

Dentro de la VPC, combine controles:

• El diseño de subredes aísla las capas.
• Las NACL protegen las subredes sin estado; los grupos de seguridad protegen las instancias con estado.
• Network Firewall añade inspección profunda y control del tráfico saliente.

La identidad también tiene sus propias capas:

• Las políticas de IAM conceden el mínimo privilegio.
• Los límites de permisos restringen lo que los roles pueden hacer.
• Las SCP establecen un límite para toda la organización.

Una acción debe superar todas las capas para permitirse.

Proteja los datos desde varios frentes:

• Cifre en reposo (KMS) y en tránsito (TLS/ACM).
• Controle estrictamente las claves y almacene los secretos en Secrets Manager.
• Detecte datos confidenciales con Macie.

Incluso si se vulnera el almacenamiento, los datos cifrados siguen protegidos.

La detección también se organiza en capas:

• GuardDuty para amenazas, Config para desviaciones y Flow Logs para anomalías de red.
• Security Hub agrega la información para que no se pase nada por alto.

Varias señales detectan lo que una sola fuente no detectaría.

Los diseños sólidos combinan controles preventivos y de detección.

• Los preventivos (SCP, grupos de seguridad y políticas de buckets) impiden las acciones indebidas.
• Los de detección (Config, GuardDuty y CloudTrail) identifican lo que logra pasar.

El examen suele exigir ambos, no solo uno.

Protección integral de una aplicación web pública: CloudFront + WAF + Shield en el perímetro, un ALB en subredes públicas, servidores de aplicaciones en subredes privadas, una base de datos cifrada con KMS, acceso mediante roles de IAM, secretos en Secrets Manager y monitoreo mediante GuardDuty y CloudTrail.

Preste atención a los diseños que dependen de un solo control, como un único grupo de seguridad o un bastion host.

La respuesta más sólida elimina los puntos únicos de fallo: ningún puerto abierto (use SSM Session Manager), ninguna clave compartida (use roles) y detección redundante.

El diseño por capas también implica limitar el radio de impacto, es decir, el daño que se produciría si un control fallara.

• Las cuentas separadas aíslan las cargas de trabajo entre sí.
• Las claves y los roles con alcance limitado restringen lo que puede alcanzar una sola intrusión.

El examen favorece los diseños en los que una intrusión no se convierte en un compromiso total.

Cuando varias respuestas "funcionen", elija la que ofrezca más capas, el mínimo privilegio y mayor administración.

En los escenarios del examen, las soluciones administradas por AWS, automatizadas y con defensa en profundidad casi siempre son mejores que las manuales y de una sola capa.

Elija el diseño con más capas.

Ha aprendido a diseñar defensas por capas.

• Combine controles en las capas de perímetro, red, identidad, datos y detección.
• Combine controles preventivos y de detección.
• La mejor respuesta del examen es la que tiene más capas, aplica el mínimo privilegio y está administrada por AWS.