Skenario Arsitektur Aman

Skenario: Sebuah instans EC2 menjalankan aplikasi web yang perlu membaca objek dari bucket S3 tertentu. Tim keamanan mengharuskan agar tidak ada kredensial jangka panjang yang disimpan di instans dan akses mengikuti prinsip hak minimum. Solusi: Buat peran IAM dengan kebijakan yang hanya mengizinkan s3:GetObject pada ARN bucket tertentu. Lampirkan peran tersebut ke instans EC2 sebagai profil instans. Aplikasi menggunakan layanan metadata instans (IMDS) untuk mengambil kredensial sementara secara otomatis — tidak diperlukan kunci yang disimpan.

Skenario: Sebuah perusahaan menyimpan PII pelanggan dalam basis data RDS PostgreSQL. Tim kepatuhan mengharuskan enkripsi saat data tersimpan, dengan kemampuan untuk mengaudit penggunaan kunci. Solusi: Aktifkan enkripsi RDS menggunakan AWS KMS dengan Customer Managed Key (CMK). CMK memungkinkan tim keamanan mengendalikan rotasi kunci, melihat penggunaan kunci di CloudTrail, dan mencabut akses bila diperlukan. Catatan: enkripsi harus diaktifkan saat pembuatan instans RDS — Anda tidak dapat mengenkripsi instans RDS yang sudah ada dan belum terenkripsi secara langsung. Untuk mengenkripsi basis data yang sudah ada, buat snapshot, salin snapshot tersebut dengan enkripsi diaktifkan, lalu pulihkan dari snapshot yang terenkripsi.

Skenario: Seorang pengembang tidak sengaja menjadikan bucket S3 dapat diakses publik sehingga data pelanggan terekspos. Tim keamanan ingin memastikan bahwa tidak ada bucket S3 dalam akun yang dapat dijadikan publik, meskipun seorang pengembang mencoba melakukannya. Solusi: Aktifkan S3 Block Public Access pada tingkat akun. Fitur ini mengesampingkan kebijakan atau ACL tingkat bucket apa pun yang memberikan akses publik, terlepas dari konfigurasi tiap tim. Gabungkan dengan aturan AWS Config (s3-bucket-public-read-prohibited) untuk terus mendeteksi dan memberi peringatan tentang bucket yang tidak mematuhi ketentuan.

Skenario: Sebuah perusahaan ingin memastikan bahwa basis data RDS hanya dapat diakses dari server aplikasinya dan tidak dari internet. Solusi: Tempatkan RDS dalam subnet privat tanpa rute ke gateway internet. Buat grup keamanan untuk RDS yang hanya mengizinkan lalu lintas masuk pada port 5432 (PostgreSQL) dari grup keamanan server aplikasi — bukan dari rentang alamat IP mana pun. Dengan demikian, meskipun server aplikasi disusupi, penyerang tidak dapat menjangkau basis data dari luar VPC, dan pergerakan lateral dibatasi oleh aturan grup keamanan.

Skenario: Kode aplikasi saat ini menyimpan kredensial basis data secara langsung dalam berkas konfigurasi. Audit keamanan menandai hal ini sebagai risiko kritis. Solusi: Simpan kredensial di AWS Secrets Manager dan konfigurasikan rotasi otomatis (Secrets Manager memiliki fungsi Lambda bawaan untuk rotasi RDS). Perbarui aplikasi agar mengambil kredensial dari Secrets Manager saat berjalan menggunakan SDK. Aplikasi secara otomatis memperoleh kredensial baru tanpa penerapan apa pun setiap kali rotasi berlangsung. Aktifkan templat rotasi rahasia RDS untuk rotasi kredensial terkelola sepenuhnya tanpa waktu henti.

Skenario: Sebuah perusahaan ingin mendeteksi apakah kredensial akun AWS telah disusupi dan digunakan dari lokasi yang tidak terduga. Solusi: Aktifkan Amazon GuardDuty di semua Region. GuardDuty menganalisis peristiwa CloudTrail, VPC Flow Logs, dan log DNS menggunakan pembelajaran mesin untuk mendeteksi anomali: panggilan API dari wilayah geografis yang tidak biasa, pola penambangan Bitcoin pada EC2, komunikasi dengan node keluar Tor, atau pola pencurian kredensial. GuardDuty menghasilkan temuan yang dapat memicu aturan EventBridge untuk secara otomatis memberi tahu tim keamanan melalui SNS atau membuat tiket dukungan.

Skenario: Aplikasi web yang berjalan di belakang ALB menerima serangan injeksi SQL. Aplikasi tersebut tidak dapat segera diubah. Solusi: Kaitkan AWS WAF dengan ALB. Terapkan grup aturan AWS Managed Rules for Common Threats (Core Rule Set + grup aturan SQL Database) yang mencakup deteksi injeksi SQL bawaan. WAF memeriksa permintaan HTTP sebelum mencapai ALB dan memblokir permintaan yang cocok dengan pola serangan — tidak diperlukan perubahan kode aplikasi. Aktifkan juga logging WAF ke Kinesis Firehose untuk analisis keamanan.

Skenario: Sebuah akun keamanan pusat memerlukan akses hanya-baca ke semua akun beban kerja dalam AWS Organisation untuk menjalankan audit keamanan. Solusi: Di setiap akun beban kerja, buat peran IAM dengan kebijakan kepercayaan yang mengizinkan akun keamanan (berdasarkan ID akun) untuk mengambil peran tersebut. Lampirkan kebijakan hanya-baca (misalnya, kebijakan terkelola AWS SecurityAudit). Tim keamanan di akun pusat menggunakan STS AssumeRole untuk mengambil peran tersebut sementara di setiap akun beban kerja. Cara ini mengikuti prinsip hak minimum — tidak ada pengguna IAM permanen yang dibuat di akun beban kerja.

Skenario: Sebuah perusahaan menggunakan AWS Organizations dan ingin mencegah akun mana pun dalam OU non-produksi meluncurkan instans GPU yang mahal. Solusi: Buat Service Control Policy (SCP) yang menolak ec2:RunInstances untuk keluarga instans GPU (p3, p4, g4, g5), lalu lampirkan ke OU non-produksi. SCP berlaku bahkan untuk pengguna root dan pengguna IAM tingkat Administrator dalam akun anggota — SCP berfungsi sebagai pagar pengaman yang tidak dapat ditimpa oleh identitas mana pun dalam akun. Hal ini mencegah pengeluaran besar yang tidak disengaja atau berbahaya dalam akun pengembangan/pengujian.

Skenario: Sebuah perusahaan jasa keuangan harus membuktikan kepada auditor bahwa semua panggilan API AWS dicatat, tahan terhadap perubahan, dan disimpan selama 7 tahun. Solusi: Buat jejak AWS CloudTrail multiwilayah yang mengirimkan log ke bucket S3 khusus dalam akun logging. Aktifkan Validasi Integritas Berkas Log (berkas intisari kriptografis yang mendeteksi perubahan pada log). Tetapkan kebijakan Object Lock S3 dalam mode Compliance dengan masa penyimpanan 7 tahun pada bucket logging. Dengan demikian, log tidak dapat dihapus atau diubah — bahkan oleh pengguna root — selama masa penyimpanan yang diwajibkan.

Skenario: Instans EC2 dalam VPC privat perlu mengakses S3 tanpa lalu lintas melewati internet publik. Saat ini NAT Gateway digunakan dan biayanya tinggi karena biaya pemrosesan data NAT Gateway. Solusi: Buat S3 Gateway VPC Endpoint. Tambahkan entri rute ke tabel rute subnet privat yang mengarahkan daftar awalan S3 ke endpoint tersebut. Lalu lintas menuju S3 kini sepenuhnya tetap berada dalam jaringan inti AWS — tidak diperlukan NAT Gateway maupun gateway internet. S3 Gateway Endpoints gratis (berbeda dengan Interface Endpoints yang mengenakan biaya per jam per AZ). Hal ini juga meningkatkan keamanan dengan menghapus akses S3 dari jalur internet publik.

Uji pemahaman Anda tentang konsep AWS Solutions Architect (SAA-C03) dari pelajaran ini.

Dalam pelajaran ini, Anda mempelajari berbagai skenario yang mencakup: peran IAM dan profil instance untuk akses EC2 tanpa kredensial, Secrets Manager untuk rotasi kredensial Database secara otomatis, AWS WAF untuk memblokir serangan injeksi tanpa perubahan kode, serta CloudTrail dengan S3 Object Lock untuk log kepatuhan yang tahan terhadap manipulasi. Selanjutnya, kita akan membahas skenario arsitektur yang tangguh dan memiliki ketersediaan tinggi.