Concevoir des scénarios de défense en profondeur

L'examen privilégie la défense en profondeur : plusieurs couches indépendantes, afin que les autres continuent de protéger la charge de travail si l'une d'elles échoue.

Aucun contrôle unique ne suffit. La meilleure réponse combine généralement des contrôles liés à l'identité, au réseau, aux données et à la détection, plutôt que de s'appuyer sur un seul contrôle.

À la périphérie du réseau, superposez les protections :

• Shield absorbe les vagues DDoS.
• WAF filtre les requêtes web malveillantes.
• CloudFront termine TLS et réduit l'exposition de l'origine.

Chaque couche prend en charge une catégorie de menaces différente.

À l'intérieur du VPC, combinez les contrôles :

• La conception des sous-réseaux isole les niveaux.
• Les NACL protègent les sous-réseaux sans conserver d'état ; les groupes de sécurité protègent les instances en conservant l'état.
• Network Firewall ajoute une inspection approfondie et un contrôle des sorties.

L'identité possède ses propres couches :

• Les politiques IAM accordent le moindre privilège.
• Les limites d'autorisation plafonnent ce que les rôles peuvent faire.
• Les SCP fixent un plafond à l'échelle de l'organisation.

Une action doit franchir toutes les couches pour être autorisée.

Protégez les données sur plusieurs fronts :

• Chiffrez au repos (KMS) et en transit (TLS/ACM).
• Contrôlez rigoureusement les clés et stockez les secrets dans Secrets Manager.
• Découvrez les données sensibles avec Macie.

Même si le stockage est compromis, les données chiffrées restent protégées.

La détection elle-même comporte plusieurs couches :

• GuardDuty pour les menaces, Config pour les dérives et Flow Logs pour les anomalies réseau.
• Security Hub agrège les informations afin que rien ne soit oublié.

La multiplicité des signaux permet de détecter ce qu'une source unique ne détecterait pas.

Les conceptions robustes associent des contrôles préventifs et détectifs.

• Les contrôles préventifs (SCP, groupes de sécurité, politiques de compartiment) empêchent les actions indésirables.
• Les contrôles détectifs (Config, GuardDuty, CloudTrail) repèrent ce qui les franchit.

L'examen attend souvent les deux, et pas un seul.

Sécurisation de bout en bout d'une application web publique : CloudFront + WAF + Shield à la périphérie, un ALB dans des sous-réseaux publics, des serveurs d'application dans des sous-réseaux privés, une base de données chiffrée avec KMS, un accès via des rôles IAM, des secrets dans Secrets Manager et une surveillance assurée par GuardDuty et CloudTrail.

Méfiez-vous des conceptions qui reposent sur un seul contrôle, comme un groupe de sécurité unique ou un hôte bastion.

La meilleure réponse élimine les points uniques de défaillance : aucun port ouvert (utilisez SSM Session Manager), aucune clé partagée (utilisez des rôles) et une détection redondante.

Une conception en couches signifie également limiter le rayon d'impact, c'est-à-dire les dommages causés par la défaillance d'un contrôle.

• Des comptes séparés isolent les charges de travail les unes des autres.
• Des clés et des rôles limités réduisent ce qu'une compromission unique peut atteindre.

L'examen privilégie les conceptions dans lesquelles une brèche ne se transforme pas en compromission totale.

Lorsque plusieurs réponses « fonctionnent », choisissez celle qui offre le plus de couches, le moindre privilège et le plus haut niveau de gestion.

Dans les scénarios d'examen, les solutions gérées par AWS, automatisées et reposant sur la défense en profondeur l'emportent presque toujours sur les solutions manuelles à couche unique.

Choisissez la conception comportant le plus de couches.

Vous avez appris à concevoir des défenses en couches.

• Superposez les contrôles aux couches de la périphérie, du réseau, de l'identité, des données et de la détection.
• Associez les contrôles préventifs et détectifs.
• La meilleure réponse à l'examen est celle qui comporte le plus de couches, respecte le moindre privilège et est gérée par AWS.