ออกแบบสถานการณ์การป้องกันแบบหลายชั้น

การสอบให้ความสำคัญกับการป้องกันเชิงลึก: ใช้การป้องกันหลายชั้นที่เป็นอิสระต่อกัน เพื่อให้เมื่อชั้นหนึ่งล้มเหลว ชั้นอื่นยังคงปกป้องเวิร์กโหลดได้

การควบคุมเพียงรายการเดียวไม่เพียงพอ คำตอบที่ดีที่สุดมักผสานการควบคุมข้อมูลประจำตัว เครือข่าย ข้อมูล และการตรวจจับ แทนที่จะพึ่งพาสิ่งใดสิ่งหนึ่ง

ที่ขอบเครือข่าย ให้จัดวางการป้องกันเป็นชั้น ๆ:

• Shield รับมือการโจมตีแบบ DDoS
• WAF กรองคำขอเว็บที่เป็นอันตราย
• CloudFront ยุติการเชื่อมต่อ TLS และลดการเปิดเผยต้นทาง

แต่ละชั้นรับมือภัยคุกคามคนละประเภท

ภายใน VPC ให้ผสานการควบคุมต่าง ๆ:

• การออกแบบซับเน็ต แยกส่วนต่าง ๆ ออกจากกัน
• NACLs ป้องกันซับเน็ตแบบไม่มีสถานะ ส่วน กลุ่มความปลอดภัย ป้องกันอินสแตนซ์แบบมีสถานะ
• ไฟร์วอลล์เครือข่าย เพิ่มการตรวจสอบเชิงลึกและการควบคุมการส่งข้อมูลออก

ข้อมูลประจำตัวก็มีการป้องกันหลายชั้นเช่นกัน:

• นโยบาย IAM มอบสิทธิ์เท่าที่จำเป็น
• ขอบเขตสิทธิ์ จำกัดสิ่งที่บทบาทจะสามารถทำได้
• SCP กำหนดเพดานสิทธิ์ทั่วทั้งองค์กร

การดำเนินการจะได้รับอนุญาตก็ต่อเมื่อผ่านการตรวจสอบทุกชั้น

ปกป้องข้อมูลจากหลายด้าน:

• เข้ารหัสขณะจัดเก็บ (KMS) และขณะส่งผ่าน (TLS/ACM)
• ควบคุมคีย์อย่างรัดกุมและจัดเก็บข้อมูลลับใน Secrets Manager
• ค้นหาข้อมูลอ่อนไหวด้วย Macie

แม้พื้นที่จัดเก็บจะถูกเจาะ ข้อมูลที่เข้ารหัสก็ยังคงได้รับการปกป้อง

การตรวจจับเองก็มีหลายชั้น:

• GuardDuty ใช้ตรวจจับภัยคุกคาม, Config ใช้ตรวจจับการเปลี่ยนแปลงที่ไม่เป็นไปตามที่กำหนด และ บันทึกโฟลว์ ใช้ตรวจจับความผิดปกติของเครือข่าย
• Security Hub รวบรวมข้อมูลเพื่อไม่ให้พลาดสิ่งใด

สัญญาณหลายแหล่งช่วยตรวจพบสิ่งที่แหล่งข้อมูลเดียวอาจพลาด

การออกแบบที่แข็งแกร่งจะจับคู่การควบคุมแบบป้องกันกับแบบตรวจจับ

• การควบคุมแบบป้องกัน (SCP, กลุ่มความปลอดภัย, นโยบายบักเก็ต) หยุดการดำเนินการที่ไม่เหมาะสม
• การควบคุมแบบตรวจจับ (Config, GuardDuty, CloudTrail) ตรวจพบสิ่งที่หลุดรอดเข้ามา

การสอบมักต้องการทั้งสองแบบ ไม่ใช่เพียงแบบใดแบบหนึ่ง

การรักษาความปลอดภัยให้เว็บแอปพลิเคชันสาธารณะตั้งแต่ต้นจนจบ: CloudFront + WAF + Shield ที่ขอบเครือข่าย, ALB ในซับเน็ตสาธารณะ, เซิร์ฟเวอร์แอปพลิเคชันในซับเน็ตส่วนตัว, ฐานข้อมูลที่เข้ารหัสด้วย KMS, การเข้าถึงผ่านบทบาท IAM, ข้อมูลลับใน Secrets Manager และการเฝ้าระวังผ่าน GuardDuty และ CloudTrail

ระวังการออกแบบที่พึ่งพาการควบคุมเพียงรายการเดียว เช่น กลุ่มความปลอดภัยเดียวหรือเซิร์ฟเวอร์ป้อมปราการ

คำตอบที่แข็งแกร่งที่สุดจะขจัดจุดล้มเหลวเพียงจุดเดียว: ไม่เปิดพอร์ตทิ้งไว้ (ใช้ SSM Session Manager), ไม่ใช้คีย์ร่วมกัน (ใช้บทบาท) และมีการตรวจจับที่ทำงานซ้ำซ้อน

การออกแบบแบบหลายชั้นยังหมายถึงการจำกัดขอบเขตความเสียหาย หรือความเสียหายที่จะเกิดขึ้นหากการควบคุมหนึ่งรายการล้มเหลว

• แยกบัญชีเพื่อแยกเวิร์กโหลดออกจากกัน
• คีย์และบทบาทที่จำกัดขอบเขตช่วยจำกัดสิ่งที่การถูกเจาะเพียงครั้งเดียวจะเข้าถึงได้

การสอบให้ความสำคัญกับการออกแบบที่การเจาะระบบครั้งหนึ่งไม่ลุกลามจนถูกยึดครองทั้งหมด

เมื่อมีหลายคำตอบที่ “ใช้งานได้” ให้เลือกคำตอบที่มีการป้องกันหลายชั้นที่สุด ใช้สิทธิ์เท่าที่จำเป็นที่สุด และได้รับการจัดการมากที่สุด

โซลูชันที่ AWS จัดการและทำงานอัตโนมัติ โดยใช้การป้องกันเชิงลึก แทบจะเอาชนะโซลูชันแบบทำด้วยตนเองและมีชั้นเดียวในสถานการณ์การสอบเสมอ

คุณได้เรียนรู้การออกแบบการป้องกันแบบหลายชั้น

• วางการควบคุมซ้อนกันในชั้นขอบเครือข่าย เครือข่าย ข้อมูลประจำตัว ข้อมูล และการตรวจจับ
• จับคู่การควบคุมแบบป้องกันและตรวจจับ
• คำตอบในการสอบที่ดีที่สุดคือโซลูชันที่มีหลายชั้นที่สุด ใช้สิทธิ์เท่าที่จำเป็นที่สุด และได้รับการจัดการโดย AWS