ความหมายของความปลอดภัยบนคลาวด์บน AWS

การรักษาความปลอดภัยระบบคลาวด์ไม่เหมือนกับการเฝ้าศูนย์ข้อมูล บน AWS ความปลอดภัยกลายเป็นเรื่องของการกำหนดค่าและข้อมูลระบุตัวตน ซึ่งเป็นซอฟต์แวร์ที่คุณกำหนด ไม่ใช่ฮาร์ดแวร์ที่คุณติดตั้ง

การรักษาความปลอดภัยแบบเดิมเชื่อถือขอบเขตเครือข่าย แต่ระบบคลาวด์กลับด้านแนวคิดนั้น ขอบเขตที่แท้จริงคือใครทำอะไรได้บ้าง วิธีเข้าสู่ระบบที่พบโดยทั่วไปคือการใช้ข้อมูลรับรองที่รั่วไหล ไม่ใช่การเจาะกำแพง

บน AWS แทบทุกอย่างคือการเรียก API สิทธิ์ที่กำหนดผิดเพียงครั้งเดียวอาจเปิดเผยข้อมูลจำนวนมากได้อย่างรวดเร็ว แต่ทุกการกระทำจะถูกบันทึกไว้ คุณจึงตรวจสอบย้อนหลังและแก้ไขโดยอัตโนมัติได้

คุณสามารถสร้างทรัพยากรนับพันรายการได้ภายในไม่กี่นาที และความผิดพลาดก็ทำได้เช่นกัน การกำหนดค่าผิดพลาดเป็นความเสี่ยงอันดับต้น ๆ ของระบบคลาวด์ จึงจำเป็นต้องมีแนวป้องกันอัตโนมัติ

ทรัพยากรระบบคลาวด์มีลักษณะเป็นชั่วคราว คือปรากฏขึ้นและหายไปตามความต้องการ ดังนั้นจึงต้องผนวกความปลอดภัยไว้ตั้งแต่ขั้นตอนการสร้าง ไม่ใช่ค่อยเพิ่มภายหลัง

ไม่มีมาตรการควบคุมใดที่มหัศจรรย์เพียงลำพัง คุณต้องวางการป้องกันหลายชั้น ได้แก่ เครือข่าย ข้อมูลระบุตัวตน การเข้ารหัส การบันทึกกิจกรรม และการตรวจจับ เพื่อให้มาตรการอื่นช่วยจำกัดความเสียหายได้หากมาตรการหนึ่งล้มเหลว

AWS บันทึกกิจกรรมให้คุณโดยอัตโนมัติ: บันทึกของ CloudTrail เก็บการเรียก API, Config ติดตามสถานะ และ CloudWatch รวบรวมเมตริก ความท้าทายคือการทำความเข้าใจข้อมูลทั้งหมดนั้น

เนื่องจากมาตรการควบคุมทุกอย่างเป็นซอฟต์แวร์ ระบบความปลอดภัยจึงตอบสนองได้ด้วยตนเอง เหตุการณ์หนึ่งอาจเรียกใช้ฟังก์ชันเพื่อแยกเซิร์ฟเวอร์ที่ถูกโจมตีได้ภายในไม่กี่วินาที ซึ่งเร็วกว่ามนุษย์คนใด

ในระบบคลาวด์ หลักฐานการปฏิบัติตามข้อกำหนดมาจากการกำหนดค่าและบันทึกกิจกรรมที่มีการตรวจสอบอย่างต่อเนื่อง พิสูจน์ได้รวดเร็วขึ้น แต่การตั้งค่าที่เปลี่ยนไปเพียงรายการเดียวอาจทำให้มาตรการควบคุมล้มเหลวโดยไม่มีใครสังเกต

การเปลี่ยนแปลงที่สำคัญที่สุดคือกรอบความคิด ให้หยุดคิดถึงกำแพงและเริ่มคิดถึงสิทธิ์เท่าที่จำเป็น การเข้ารหัสทุกแห่ง และการเฝ้าติดตามอย่างต่อเนื่อง โดยถือว่าทุกสิ่งอาจถูกตรวจสอบหรือโจมตีได้

ความปลอดภัยระบบคลาวด์เป็นศาสตร์เฉพาะของตนเอง โดยให้ความสำคัญกับข้อมูลระบุตัวตนมากกว่าขอบเขตเครือข่าย และการกำหนดค่ามากกว่าฮาร์ดแวร์ ต่อไปคือแนวคิดสำคัญที่สุดบน AWS นั่นคือ แบบจำลองความรับผิดชอบร่วมกัน

ทดสอบความเข้าใจเกี่ยวกับแนวคิดด้านความปลอดภัยระบบคลาวด์ของคุณ

ความปลอดภัยระบบคลาวด์เปลี่ยนจากขอบเขตเครือข่ายเป็นข้อมูลระบุตัวตน และจากฮาร์ดแวร์เป็นการกำหนดค่า การกำหนดค่าผิดพลาดและข้อมูลรับรองที่รั่วไหลเป็นความเสี่ยงสำคัญ จึงต้องวางการป้องกันหลายชั้น