Znaczenie bezpieczeństwa chmury w AWS

Zabezpieczanie chmury nie przypomina ochrony centrum danych. W AWS bezpieczeństwo staje się kwestią konfiguracji i tożsamości — oprogramowania definiowanego przez Ciebie, a nie sprzętu instalowanego fizycznie.

Dawniej bezpieczeństwo opierało się na zaufaniu do granicy sieci. Chmura odwraca ten model: rzeczywistą granicą jest to, kto może co zrobić. Najczęstszą drogą uzyskania dostępu nie jest sforsowanie muru, lecz wyciek danych uwierzytelniających.

W AWS niemal wszystko jest wywołaniem API. Jedno błędne uprawnienie może szybko ujawnić dużą ilość danych — ale każda czynność jest rejestrowana, dzięki czemu można ją kontrolować i automatycznie korygować.

W ciągu kilku minut możesz uruchomić tysiące zasobów — a błąd może zrobić to samo. Błędna konfiguracja jest największym zagrożeniem w chmurze, dlatego tak ważne są automatyczne mechanizmy ochronne.

Zasoby chmurowe są ulotne — pojawiają się i znikają na żądanie. Dlatego zabezpieczenia muszą być wbudowane w sposób ich tworzenia, a nie dodawane dopiero później.

Nie istnieje pojedynczy magiczny mechanizm kontroli. Nakładasz na siebie warstwy zabezpieczeń — sieć, tożsamość, szyfrowanie, rejestrowanie i wykrywanie — aby w razie awarii jednej z nich pozostałe ograniczyły szkody.

AWS rejestruje aktywność za Ciebie: CloudTrail zapisuje wywołania API, Config śledzi stan, a CloudWatch gromadzi metryki. Wyzwaniem jest zrozumienie wszystkich tych danych.

Ponieważ każdy mechanizm kontroli jest oprogramowaniem, bezpieczeństwo może reagować samodzielnie. Zdarzenie może uruchomić funkcję, która w ciągu kilku sekund odizoluje zaatakowany serwer — szybciej niż jakikolwiek człowiek.

W chmurze dowody zgodności pochodzą z konfiguracji i dzienników, które są stale sprawdzane. Łatwiej ją udowodnić, ale jedna zmieniona konfiguracja może po cichu naruszyć mechanizm kontroli.

Największa zmiana dotyczy sposobu myślenia: przestań myśleć o murach, a zacznij myśleć o zasadzie najmniejszych uprawnień, szyfrowaniu wszędzie i ciągłym monitorowaniu. Załóż, że wszystko może stać się celem sondowania.

Bezpieczeństwo chmury to odrębna dziedzina: tożsamość zamiast perymetru, konfiguracja zamiast sprzętu. Następny temat to najważniejsza koncepcja w AWS — Shared Responsibility Model.

Sprawdź, jak rozumiesz bezpieczeństwo w chmurze.

Bezpieczeństwo chmury przechodzi od perymetru do tożsamości oraz od sprzętu do konfiguracji. Błędna konfiguracja i wyciek danych uwierzytelniających to największe zagrożenia, dlatego należy stosować warstwową ochronę.