Merancang Skenario Pertahanan Berlapis

Ujian mengutamakan pertahanan berlapis: beberapa lapisan independen sehingga jika satu lapisan gagal, lapisan lain tetap melindungi beban kerja.

Tidak ada satu pengendalian yang cukup. Jawaban terbaik biasanya menggabungkan pengendalian identitas, jaringan, data, dan deteksi, bukan bergantung pada satu pengendalian.

Di sisi tepi jaringan, susun perlindungan secara berlapis:

• Shield menyerap banjir DDoS.
• WAF menyaring permintaan web berbahaya.
• CloudFront menghentikan TLS dan mengurangi paparan asal.

Setiap lapisan menangani kelas ancaman yang berbeda.

Di dalam VPC, gabungkan berbagai pengendalian:

• Desain subnet mengisolasi tingkatan.
• NACL melindungi subnet secara tanpa status; grup keamanan melindungi instans secara berstatus.
• Tembok Api Jaringan menambahkan pemeriksaan mendalam dan pengendalian lalu lintas keluar.

Identitas memiliki lapisannya sendiri:

• Kebijakan IAM memberikan hak istimewa minimum.
• Batas izin membatasi hal-hal yang dapat dilakukan peran.
• SCP menetapkan batas atas di seluruh organisasi.

Sebuah tindakan harus melewati semua lapisan agar diizinkan.

Lindungi data dari berbagai sisi:

• Enkripsi saat tersimpan (KMS) dan saat transit (TLS/ACM).
• Kendalikan kunci dengan ketat dan simpan rahasia di Pengelola Rahasia.
• Temukan data sensitif dengan Macie.

Bahkan jika penyimpanan dibobol, data terenkripsi tetap terlindungi.

Deteksi itu sendiri juga berlapis:

• GuardDuty untuk ancaman, Konfigurasi untuk penyimpangan, dan Log Aliran untuk anomali jaringan.
• Pusat Keamanan menggabungkannya agar tidak ada yang terlewat.

Berbagai sinyal dapat menemukan hal-hal yang terlewat oleh satu sumber saja.

Desain yang kuat memadukan pengendalian preventif dan detektif.

• Pengendalian preventif (SCP, grup keamanan, kebijakan bucket) menghentikan tindakan buruk.
• Pengendalian detektif (Konfigurasi, GuardDuty, CloudTrail) menangkap hal-hal yang berhasil melewatinya.

Ujian sering menginginkan keduanya, bukan hanya salah satunya.

Mengamankan aplikasi web publik secara menyeluruh: CloudFront + WAF + Shield di sisi tepi, ALB di subnet publik, server aplikasi di subnet privat, basis data yang dienkripsi dengan KMS, akses melalui peran IAM, rahasia di Pengelola Rahasia, serta pemantauan melalui GuardDuty dan CloudTrail.

Waspadai desain yang bergantung pada satu pengendalian, seperti satu grup keamanan atau satu host bastion.

Jawaban terkuat menghilangkan titik kegagalan tunggal: tidak ada port terbuka (gunakan Pengelola Sesi SSM), tidak ada kunci bersama (gunakan peran), dan deteksi yang redundan.

Desain berlapis juga berarti membatasi radius dampak, yaitu kerusakan jika satu pengendalian gagal.

• Akun terpisah mengisolasi beban kerja satu sama lain.
• Kunci dan peran dengan cakupan terbatas membatasi jangkauan satu kompromi.

Ujian mengutamakan desain yang memastikan satu pembobolan tidak berkembang menjadi kompromi total.

Jika beberapa jawaban "berfungsi", pilih jawaban yang paling berlapis, menggunakan hak istimewa minimum, dan paling terkelola.

Solusi yang dikelola AWS, otomatis, dan berlapis hampir selalu lebih unggul daripada solusi manual dengan satu lapisan dalam skenario ujian.

Pilih desain yang paling berlapis.

Anda telah mempelajari cara merancang pertahanan berlapis.

• Susun pengendalian pada lapisan sisi tepi, jaringan, identitas, data, dan deteksi.
• Padukan pengendalian preventif dan detektif.
• Jawaban ujian terbaik adalah solusi yang paling berlapis, menggunakan hak istimewa minimum, dan dikelola AWS.