Utforma scenarier för lagerindelat försvar

På provet premieras djupförsvar: flera oberoende lager, så att andra fortfarande skyddar arbetslasten om ett lager fallerar.

Ingen enskild kontroll räcker. Det bästa svaret kombinerar vanligtvis kontroller för identitet, nätverk, data och detektering i stället för att förlita sig på en enda kontroll.

Stapla skydd vid nätverkskanten:

• Shield absorberar DDoS-översvämningar.
• WAF filtrerar skadliga webbförfrågningar.
• CloudFront terminerar TLS och minskar originens exponering.

Varje lager hanterar en annan typ av hot.

Kombinera kontroller i VPC:n:

• Subnettdesign isolerar olika nivåer.
• NACLs skyddar subnät tillståndslöst; security groups skyddar instanser tillståndsfullt.
• Network Firewall tillför djupgående inspektion och kontroll av utgående trafik.

Identitet har sina egna lager:

• IAM-policyer ger minsta privilegium.
• Behörighetsgränser begränsar vad roller någonsin kan göra.
• SCP:er sätter ett tak för hela organisationen.

En åtgärd måste passera alla lager för att tillåtas.

Skydda data på flera sätt:

• Kryptera data i vila (KMS) och data under överföring (TLS/ACM).
• Kontrollera nycklar strikt och lagra hemligheter i Secrets Manager.
• Identifiera känsliga data med Macie.

Även om lagringen utsätts för intrång förblir krypterade data skyddade.

Även detektering sker i lager:

• GuardDuty för hot, Config för avvikelser, Flow Logs för avvikelser i nätverket.
• Security Hub samlar allt så att inget missas.

Flera signaler upptäcker sådant som en enskild källa missar.

Robusta lösningar kombinerar förebyggande och detekterande kontroller.

• Förebyggande kontroller (SCP:er, security groups, bucket-policyer) stoppar skadliga åtgärder.
• Detekterande kontroller (Config, GuardDuty, CloudTrail) upptäcker sådant som tar sig igenom.

På provet efterfrågas ofta båda, inte bara den ena.

Skydda en offentlig webbapp från början till slut: CloudFront + WAF + Shield vid kanten, en ALB i offentliga subnät, applikationsservrar i privata subnät, en databas krypterad med KMS, åtkomst via IAM-roller, hemligheter i Secrets Manager och övervakning via GuardDuty och CloudTrail.

Var uppmärksam på lösningar som är beroende av en enda kontroll, till exempel en enda security group eller en bastion host.

Det starkaste svaret eliminerar enskilda felpunkter: inga öppna portar (använd SSM Session Manager), inga delade nycklar (använd roller) och redundant detektering.

En lagerindelad design innebär också att begränsa spridningsradien, det vill säga skadan om en kontroll fallerar.

• Separata konton isolerar arbetslaster från varandra.
• Avgränsade nycklar och roller begränsar vad en enskild kompromettering kan nå.

På provet premieras lösningar där ett intrång inte eskalerar till en total kompromettering.

När flera svar ”fungerar” väljer ni det som har flest lager, minsta privilegium och högst grad av hantering.

AWS-hanterade, automatiserade lösningar med djupförsvar slår nästan alltid manuella lösningar med ett enda lager i provscenarier.

Ni har lärt er att utforma lagerindelade försvar.

• Stapla kontroller i lagren för kant, nätverk, identitet, data och detektering.
• Kombinera förebyggande och detekterande kontroller.
• Det bästa provsvaret är det med flest lager, minsta privilegium och AWS-hantering.