Проектирование сценариев многоуровневой защиты

Экзамен отдает предпочтение эшелонированной защите: нескольким независимым уровням, чтобы при отказе одного остальные продолжали защищать рабочую нагрузку.

Одного средства контроля недостаточно. Лучший ответ обычно объединяет средства контроля идентификации, сети, данных и обнаружения, а не полагается на одно из них.

На периметре сети используйте несколько уровней защиты:

• Shield поглощает DDoS-атаки.
• WAF фильтрует вредоносные веб-запросы.
• CloudFront завершает TLS и сокращает доступность исходного сервера извне.

Каждый уровень обрабатывает свой класс угроз.

Внутри VPC объединяйте средства контроля:

• Проектирование подсетей изолирует уровни приложения.
• NACL защищают подсети без сохранения состояния; группы безопасности защищают экземпляры с сохранением состояния.
• Сетевой брандмауэр добавляет глубокую проверку и контроль исходящего трафика.

У идентификации есть собственные уровни:

• Политики IAM предоставляют минимально необходимые привилегии.
• Границы разрешений ограничивают действия, которые роли могут когда-либо выполнять.
• SCP задают общее для организации максимальное ограничение.

Чтобы быть разрешенным, действие должно пройти все уровни.

Защищайте данные с нескольких сторон:

• Шифруйте данные при хранении (KMS) и при передаче (TLS/ACM).
• Строго контролируйте ключи и храните секреты в Диспетчере секретов.
• Обнаруживайте конфиденциальные данные с помощью Маси.

Даже при взломе хранилища зашифрованные данные остаются защищенными.

Само обнаружение также многоуровневое:

• GuardDuty для угроз, Config для отклонений конфигурации, Журналы потоков для сетевых аномалий.
• Центр безопасности агрегирует данные, чтобы ничего не упустить.

Несколько сигналов выявляют то, что может пропустить любой отдельный источник.

Надежные проекты сочетают превентивные средства контроля и средства обнаружения.

• Превентивные средства (SCP, группы безопасности, политики корзин) останавливают нежелательные действия.
• Средства обнаружения (Config, GuardDuty, CloudTrail) выявляют то, что прошло через защиту.

На экзамене часто требуются оба типа, а не только один.

Комплексная защита общедоступного веб-приложения: CloudFront + WAF + Shield на периметре, ALB в общедоступных подсетях, серверы приложения в частных подсетях, база данных, зашифрованная с помощью KMS, доступ через роли IAM, секреты в Диспетчере секретов и мониторинг с помощью GuardDuty и CloudTrail.

Следите за проектами, которые зависят от одного средства контроля, например одной группы безопасности или бастионного узла.

Самый надежный ответ устраняет единые точки отказа: нет открытых портов (используйте Диспетчер сеансов SSM), нет общих ключей (используйте роли) и есть резервирование средств обнаружения.

Многоуровневое проектирование также означает ограничение радиуса поражения - ущерба при отказе одного средства контроля.

• Отдельные учетные записи изолируют рабочие нагрузки друг от друга.
• Ключи и роли с ограниченной областью действия уменьшают объем ресурсов, к которым может получить доступ одна скомпрометированная сущность.

Экзамен отдает предпочтение проектам, в которых один взлом не приводит к полному компрометированию.

Когда несколько ответов «работают», выберите тот, который наиболее многоуровневый, соответствует минимальным привилегиям и сильнее всего управляется AWS.

В экзаменационных сценариях управляемые AWS автоматизированные решения с эшелонированной защитой почти всегда лучше ручных одноуровневых решений.

Выберите наиболее многоуровневый проект.

Вы научились проектировать многоуровневую защиту.

• Используйте средства контроля на уровнях периметра, сети, идентификации, данных и обнаружения.
• Сочетайте превентивные средства и средства обнаружения.
• Лучший ответ на экзамене - наиболее многоуровневое решение с минимальными привилегиями, управляемое AWS.