Основы безопасности Well-Architected Framework

Well-Architected Framework — это набор лучших практик AWS, сгруппированных по направлениям. Направление безопасности формирует подход, которого ожидает экзамен.

У этой модели шесть направлений: операционное совершенство, безопасность, надёжность, эффективность производительности, оптимизация затрат и устойчивое развитие. На экзамене основное внимание уделяется безопасности.

Первый принцип: создайте надёжную основу идентичности. Применяйте минимально необходимые привилегии, разделяйте обязанности, централизуйте идентичность и отдавайте предпочтение временным учётным данным.

Второй принцип: обеспечьте отслеживаемость — отслеживайте изменения, создавайте оповещения и проверяйте их в реальном времени. Поэтому CloudTrail, Config и CloudWatch настолько важны.

Далее: применяйте безопасность на всех уровнях, а не только на одной внешней границе — на периферии, в VPC, подсети, экземпляре, OS и приложении. Это правило проектирования для многоуровневой защиты.

Модель призывает Вас автоматизировать безопасность. Определяйте средства контроля в виде кода, чтобы безопасные конфигурации можно было воспроизводить, а реакции на события были быстрыми и единообразными.

Защищайте данные с помощью шифрования, токенизации и контроля доступа — как при хранении, так и при передаче. Классифицируйте данные по степени чувствительности и ограничивайте круг тех, кто может напрямую работать с ними.

Важная практика: не допускайте людей к данным. Используйте инструменты и автоматизацию, чтобы люди как можно реже работали с необработанными данными, — чем меньше участников, тем меньше возможностей для утечки.

Последний принцип: готовьтесь к событиям безопасности. Исходите из того, что инциденты произойдут, держите инструкции по реагированию наготове и проводите имитационные учения. Подготовка сама по себе является средством контроля.

Если подходят два варианта ответа, принципы помогают выбрать: отдавайте предпочтение минимально необходимым привилегиям, большей автоматизации, более полной отслеживаемости и шифрованию по умолчанию.

Каждый принцип связан с реальными службами: идентичность — с IAM и STS, отслеживаемость — с журналированием, многоуровневая безопасность — с сетевой защитой, защита данных — с KMS.

Вспомните принципы направления безопасности.

Направление безопасности задаёт следующие принципы: надёжная идентичность, отслеживаемость, безопасность на всех уровнях, автоматизация, защита данных и подготовка к событиям. Используйте их для выбора между равноценными вариантами.