Projektowanie scenariuszy wielowarstwowej ochrony

Egzamin kładzie nacisk na obronę w głąb: wiele niezależnych warstw sprawia, że gdy jedna zawiedzie, pozostałe nadal chronią obciążenie.

Żadna pojedyncza kontrola nie wystarczy. Najlepsza odpowiedź zwykle łączy mechanizmy kontroli tożsamości, sieci, danych i wykrywania zamiast polegać na jednym z nich.

Na brzegu sieci zastosuj kilka warstw ochrony:

• Shield absorbuje zalewy DDoS.
• WAF filtruje złośliwe żądania internetowe.
• CloudFront kończy połączenia TLS i ogranicza ekspozycję źródła.

Każda warstwa obsługuje inną klasę zagrożeń.

Wewnątrz VPC połącz kilka mechanizmów kontroli:

• Projekt podsieci izoluje poszczególne warstwy.
• NACLs chronią podsieci bez śledzenia stanu, a security groups chronią instancje z uwzględnieniem stanu połączenia.
• Network Firewall zapewnia dodatkowo szczegółową inspekcję i kontrolę ruchu wychodzącego.

Tożsamość ma własne warstwy ochrony:

• Zasady IAM przyznają najmniejsze wymagane uprawnienia.
• Granice uprawnień ograniczają zakres działań, jakie role mogą kiedykolwiek wykonywać.
• SCP wyznaczają limit obowiązujący w całej organizacji.

Operacja musi przejść przez wszystkie warstwy, aby została dozwolona.

Chroń dane na kilku poziomach:

• Szyfruj dane w spoczynku (KMS) i podczas przesyłania (TLS/ACM).
• Ściśle kontroluj klucze i przechowuj sekrety w Secrets Manager.
• Wykrywaj dane wrażliwe za pomocą Macie.

Nawet w przypadku naruszenia zabezpieczeń magazynu zaszyfrowane dane pozostają chronione.

Samo wykrywanie również składa się z warstw:

• GuardDuty wykrywa zagrożenia, Config wykrywa odchylenia od konfiguracji, a Flow Logs anomalie sieciowe.
• Security Hub agreguje informacje, dzięki czemu nic nie zostaje pominięte.

Wiele sygnałów wykrywa to, czego nie zauważyłoby pojedyncze źródło.

Skuteczne projekty łączą kontrole prewencyjne i detekcyjne.

• Kontrole prewencyjne (SCP, security groups, zasady bucketów) powstrzymują niewłaściwe działania.
• Kontrole detekcyjne (Config, GuardDuty, CloudTrail) wykrywają działania, które się przedostały.

Egzamin często wymaga zastosowania obu rodzajów, a nie tylko jednego.

Kompleksowe zabezpieczenie publicznej aplikacji internetowej: CloudFront + WAF + Shield na brzegu sieci, ALB w publicznych podsieciach, serwery aplikacji w prywatnych podsieciach, baza danych zaszyfrowana za pomocą KMS, dostęp przez role IAM, sekrety w Secrets Manager oraz monitorowanie za pomocą GuardDuty i CloudTrail.

Uważaj na projekty zależne od jednego mechanizmu kontroli, takiego jak pojedyncza security group lub bastion host.

Najlepsza odpowiedź eliminuje pojedyncze punkty awarii: bez otwartych portów (użyj SSM Session Manager), bez współdzielonych kluczy (użyj ról) oraz z nadmiarowym wykrywaniem zagrożeń.

Projekt warstwowy oznacza również ograniczanie zasięgu skutków, czyli szkód, jakie powstaną w razie awarii jednej kontroli.

• Oddzielne konta izolują obciążenia od siebie.
• Ograniczone zakresem klucze i role zmniejszają zasięg dostępu w przypadku pojedynczego naruszenia.

Egzamin faworyzuje projekty, w których jedno włamanie nie prowadzi kaskadowo do całkowitego przejęcia środowiska.

Gdy kilka odpowiedzi jest „działających”, wybierz tę, która zapewnia najwięcej warstw, najmniejsze uprawnienia i najwyższy poziom zarządzania.

Rozwiązania zarządzane przez AWS i zautomatyzowane, oparte na obronie w głąb, niemal zawsze wypadają lepiej w scenariuszach egzaminacyjnych niż rozwiązania ręczne i jednowarstwowe.

Wybierz projekt z największą liczbą warstw ochrony.

Nauczył się Pan projektować warstwowe zabezpieczenia.

• Łącz mechanizmy kontroli w warstwach brzegowej, sieciowej, tożsamości, danych i wykrywania.
• Łącz kontrole prewencyjne i detekcyjne.
• Najlepsza odpowiedź egzaminacyjna zapewnia najwięcej warstw, najmniejsze uprawnienia i korzysta z usług zarządzanych przez AWS.