Utforming av scenarier for lagdelt forsvar

Eksamen favoriserer forsvar i dybden: flere uavhengige lag, slik at andre fortsatt beskytter arbeidsbelastningen hvis ett lag svikter.

Ingen enkeltkontroll er tilstrekkelig. Det beste svaret kombinerer vanligvis kontroller for identitet, nettverk, data og oppdagelse i stedet for å basere seg på én enkelt kontroll.

Stable beskyttelseslag ved nettverkets ytterkant:

• Shield absorberer DDoS-flommer.
• WAF filtrerer ondsinnede nettforespørsler.
• CloudFront avslutter TLS og reduserer eksponeringen av opprinnelsen.

Hvert lag håndterer en egen trusseltype.

Kombiner kontroller inne i VPC-en:

• Subnettdesign isolerer lag.
• NACL-er beskytter subnett uten tilstand, mens sikkerhetsgrupper beskytter instanser med tilstand.
• Network Firewall gir dyp inspeksjon og kontroll over utgående trafikk.

Identitet har sine egne lag:

• IAM-policyer gir minste privilegium.
• Tillatelsesgrenser begrenser hva roller kan gjøre.
• SCP-er setter en øvre grense for hele organisasjonen.

En handling må passere alle lagene for å bli tillatt.

Beskytt data på flere måter:

• Krypter i ro (KMS) og under overføring (TLS/ACM).
• Kontroller nøkler strengt, og lagre hemmeligheter i Secrets Manager.
• Oppdag sensitive data med Macie.

Selv om lagringen brytes, forblir krypterte data beskyttet.

Selve oppdagelsen skjer også i flere lag:

• GuardDuty for trusler, Config for avvik, Flow Logs for nettverksanomalier.
• Security Hub samler alt, slik at ingenting blir oversett.

Flere signaler oppdager det som én enkelt kilde ikke ville ha oppdaget.

Robuste løsninger kombinerer forebyggende og oppdagende kontroller.

• Forebyggende kontroller (SCP-er, sikkerhetsgrupper, bucket-policyer) stopper uønskede handlinger.
• Oppdagende kontroller (Config, GuardDuty, CloudTrail) oppdager det som slipper gjennom.

Eksamen forventer ofte begge deler, ikke bare én.

Sikring av en offentlig nettapplikasjon fra ende til ende: CloudFront + WAF + Shield ved ytterkanten, en ALB i offentlige subnett, applikasjonsservere i private subnett, en database kryptert med KMS, tilgang via IAM-roller, hemmeligheter i Secrets Manager og overvåking via GuardDuty og CloudTrail.

Vær oppmerksom på løsninger som er avhengige av én enkelt kontroll, for eksempel én sikkerhetsgruppe eller en bastionvert.

Det sterkeste svaret fjerner enkeltstående feilkilder: ingen åpne porter (bruk SSM Session Manager), ingen delte nøkler (bruk roller) og redundant oppdagelse.

Lagdeling betyr også å begrense skadeomfanget, altså skaden som oppstår hvis én kontroll svikter.

• Separate kontoer isolerer arbeidsbelastninger fra hverandre.
• Avgrensede nøkler og roller begrenser hva ett enkelt sikkerhetsbrudd kan nå.

Eksamen favoriserer løsninger der ett sikkerhetsbrudd ikke utvikler seg til et fullstendig kompromiss.

Når flere svar «fungerer», velger du det som har flest lag, minste privilegium og mest administrasjon.

AWS-administrerte, automatiserte løsninger med forsvar i dybden slår nesten alltid manuelle løsninger med ett lag i eksamensscenarioer.

Du har lært å utforme lagdelte forsvar.

• Stable kontroller i lagene for ytterkant, nettverk, identitet, data og oppdagelse.
• Kombiner forebyggende og oppdagende kontroller.
• Det beste eksamenssvaret har flest lag, minste privilegium og er AWS-administrert.