Progettare scenari di difesa a più livelli

L'esame privilegia la difesa in profondità: più livelli indipendenti, in modo che, se uno fallisce, gli altri continuino a proteggere il carico di lavoro.

Nessun singolo controllo è sufficiente. La risposta migliore combina in genere controlli di identità, rete, dati e rilevamento, invece di affidarsi a uno solo.

Al perimetro di rete, sovrapponga le protezioni:

• Shield assorbe le ondate DDoS.
• WAF filtra le richieste web dannose.
• CloudFront termina TLS e riduce l'esposizione dell'origine.

Ogni livello gestisce una classe di minacce diversa.

All'interno della VPC, combini i controlli:

• La progettazione delle subnet isola i livelli.
• Le NACL proteggono le subnet senza mantenere lo stato; i security group proteggono le istanze mantenendo lo stato.
• Network Firewall aggiunge un'ispezione approfondita e il controllo del traffico in uscita.

Anche l'identità dispone di più livelli:

• Le policy IAM concedono il privilegio minimo.
• Le permission boundary limitano ciò che i ruoli possono fare in assoluto.
• Le SCP stabiliscono un limite massimo a livello organizzativo.

Un'azione deve superare tutti i livelli per essere consentita.

Protegga i dati su più fronti:

• Cifri i dati a riposo (KMS) e in transito (TLS/ACM).
• Controlli rigorosamente le chiavi e archivi i segreti in Secrets Manager.
• Individui i dati sensibili con Macie.

Anche se lo storage viene compromesso, i dati cifrati restano protetti.

Anche il rilevamento è strutturato su più livelli:

• GuardDuty per le minacce, Config per le modifiche non conformi, Flow Logs per le anomalie di rete.
• Security Hub aggrega gli eventi, così nulla viene trascurato.

Più segnali rilevano ciò che una singola fonte non riesce a individuare.

Le architetture solide abbinano controlli preventivi e rilevativi.

• I controlli preventivi (SCP, security group, policy dei bucket) bloccano le azioni dannose.
• I controlli rilevativi (Config, GuardDuty, CloudTrail) individuano ciò che riesce a superarli.

L'esame richiede spesso entrambi, non soltanto uno.

Mettere in sicurezza un'applicazione web pubblica dall'inizio alla fine: CloudFront + WAF + Shield al perimetro, un ALB nelle subnet pubbliche, i server applicativi nelle subnet private, un database cifrato con KMS, accesso tramite ruoli IAM, segreti in Secrets Manager e monitoraggio tramite GuardDuty e CloudTrail.

Presti attenzione alle architetture che dipendono da un solo controllo, come un singolo security group o un bastion host.

La risposta più solida elimina i singoli punti di guasto: nessuna porta aperta (utilizzi SSM Session Manager), nessuna chiave condivisa (utilizzi i ruoli) e rilevamento ridondante.

Una progettazione a livelli significa anche limitare il blast radius, ovvero i danni che si verificano se un controllo fallisce.

• Account separati isolano i carichi di lavoro gli uni dagli altri.
• Chiavi e ruoli con ambito limitato riducono ciò che una singola compromissione può raggiungere.

L'esame privilegia le architetture in cui una violazione non si propaga fino a compromettere tutto.

Quando più risposte "funzionano", scelga quella con il maggior numero di livelli, il privilegio minimo e il maggior grado di gestione.

Le soluzioni gestite da AWS, automatizzate e basate sulla difesa in profondità quasi sempre prevalgono su quelle manuali e a singolo livello negli scenari d'esame.

Ha imparato a progettare difese a più livelli.

• Sovrapponga i controlli ai livelli di perimetro, rete, identità, dati e rilevamento.
• Abbini controlli preventivi e rilevativi.
• La risposta migliore all'esame è quella con più livelli, privilegio minimo e gestione AWS.