Что означает безопасность облака в AWS

Защита облака не похожа на охрану центра обработки данных. В AWS безопасность становится вопросом конфигурации и идентификации — программного обеспечения, которое Вы определяете, а не оборудования, которое устанавливаете.

Раньше безопасность строилась на доверии к периметру. Облако меняет этот подход: настоящая граница определяется тем, кто и что может делать. Обычно путь внутрь открывает не взломанная стена, а утёкшие учётные данные.

В AWS почти всё представляет собой вызов API. Одно неверное разрешение может быстро открыть доступ к большому объёму ресурсов, но каждое действие записывается в журнал, поэтому его можно проверить и автоматически исправить.

За несколько минут можно создать тысячи ресурсов — и ошибка может сделать то же самое. Неправильная конфигурация — главный риск облака, поэтому так важны автоматизированные защитные ограничения.

Облачные ресурсы эфемерны — они появляются и исчезают по требованию. Поэтому безопасность нужно встраивать в процесс их создания, а не добавлять после этого.

Волшебного универсального средства защиты не существует. Вы наслаиваете меры защиты — сетевые, связанные с идентичностью, шифрованием, журналированием и обнаружением угроз, — чтобы при отказе одной из них остальные ограничили ущерб.

AWS записывает действия за Вас: CloudTrail регистрирует вызовы API, Config отслеживает состояние, а CloudWatch собирает метрики. Сложность заключается в том, чтобы разобраться во всех этих данных.

Поскольку каждый элемент контроля является программным, безопасность может реагировать самостоятельно. Событие может запустить функцию, которая за считанные секунды изолирует взломанный сервер, — быстрее любого человека.

В облаке подтверждения соответствия требованиям берутся из конфигурации и журналов и проверяются непрерывно. Доказать соответствие становится быстрее, но одна незаметно изменившаяся настройка может нарушить работу средства контроля.

Главное изменение касается образа мышления: перестаньте думать о стенах и начните думать о минимально необходимых привилегиях, повсеместном шифровании и непрерывном мониторинге. Исходите из того, что любой ресурс может стать объектом проверки.

Безопасность облака — отдельная дисциплина: идентичность вместо периметра, конфигурация вместо оборудования. Далее Вас ждёт самая важная идея в AWS — модель общей ответственности.

Безопасность облака смещает акцент с периметра на идентичность, а с оборудования — на конфигурацию. Неправильная конфигурация и утёкшие учётные данные представляют наибольшие риски, поэтому следует применять многоуровневую защиту.