Katmanlı Savunma Senaryoları Tasarlama

Sınav, derinlemesine savunmayı öne çıkarır: bir katman başarısız olduğunda diğerlerinin iş yükünü korumaya devam etmesi için birden çok bağımsız katman kullanılır.

Tek bir denetim yeterli değildir. En iyi yanıt genellikle yalnızca bir denetime güvenmek yerine kimlik, ağ, veri ve tespit denetimlerini birleştirir.

Ağ kenarında korumaları üst üste yerleştirin:

• Shield, DDoS saldırılarını emer.
• WAF, kötü amaçlı web isteklerini filtreler.
• CloudFront, TLS sonlandırmasını yapar ve kaynak sunucunun maruz kalmasını azaltır.

Her katman farklı bir tehdit sınıfını ele alır.

VPC içinde denetimleri birleştirin:

• Alt ağ tasarımı, katmanları birbirinden yalıtır.
• NACL'ler alt ağları durumsuz olarak korur; güvenlik grupları bulut sunucularını durum bilgili olarak korur.
• Network Firewall, derinlemesine inceleme ve dışa giden trafik denetimi ekler.

Kimliğin de kendi katmanları vardır:

• IAM ilkeleri en az ayrıcalık verir.
• İzin sınırları, rollerin yapabileceği işlemlere üst sınır koyar.
• SCP'ler, kuruluş genelinde bir üst sınır belirler.

Bir eylemin gerçekleştirilmesine izin verilmesi için tüm katmanları geçmesi gerekir.

Verileri birden çok yönden koruyun:

• Bekleyen verileri (KMS) ve aktarım hâlindeki verileri (TLS/ACM) şifreleyin.
• Anahtarları sıkı şekilde denetleyin ve gizli bilgileri Secrets Manager içinde saklayın.
• Macie ile hassas verileri keşfedin.

Depolama alanı ihlal edilse bile şifrelenmiş veriler korunmaya devam eder.

Tespitin kendisi de katmanlıdır:

• Tehditler için GuardDuty, sapmalar için Config, ağ anormallikleri için Flow Logs.
• Security Hub, hiçbir şeyin gözden kaçmaması için bunları bir araya getirir.

Birden çok sinyal, tek bir kaynağın gözden kaçırdığı şeyleri yakalar.

Güçlü tasarımlar önleyici ve tespit edici denetimleri birlikte kullanır.

• Önleyici denetimler (SCP'ler, güvenlik grupları, paket politikaları) kötü eylemleri durdurur.
• Tespit edici denetimler (Config, GuardDuty, CloudTrail) içeri sızanları yakalar.

Sınav çoğu zaman yalnızca birini değil, ikisini de ister.

Herkese açık bir web uygulamasını uçtan uca güvenceye almak: ağ kenarında CloudFront + WAF + Shield, herkese açık alt ağlarda bir ALB, özel alt ağlarda uygulama sunucuları, KMS ile şifrelenmiş bir veritabanı, IAM rolleri üzerinden erişim, Secrets Manager içinde gizli bilgiler ve GuardDuty ile CloudTrail üzerinden izleme.

Tek bir güvenlik grubu veya bastion sunucusu gibi tek bir denetime dayanan tasarımlara dikkat edin.

En güçlü yanıt, tek noktadaki arızaları ortadan kaldırır: açık bağlantı noktaları yoktur (SSM Session Manager kullanılır), paylaşılan anahtarlar yoktur (roller kullanılır) ve yedekli tespit sağlanır.

Katmanlı tasarım, bir denetim başarısız olduğunda oluşacak hasar olan etki alanını sınırlamak anlamına da gelir.

• Ayrı hesaplar iş yüklerini birbirinden yalıtır.
• Kapsamı sınırlandırılmış anahtarlar ve roller, tek bir ihlalin ulaşabileceği alanı kısıtlar.

Sınav, tek bir ihlalin toplam güvenlik ihlaline dönüşmediği tasarımları öne çıkarır.

Birkaç yanıt "işe yaradığında" en katmanlı, en az ayrıcalıklı ve en çok yönetilen olanı seçin.

AWS tarafından yönetilen, otomatik ve derinlemesine savunma sağlayan çözümler, sınav senaryolarında neredeyse her zaman manuel ve tek katmanlı çözümlerden daha iyidir.

En katmanlı tasarımı seçin.

Katmanlı savunmalar tasarlamayı öğrendiniz.

• Denetimleri ağ kenarı, ağ, kimlik, veri ve tespit katmanlarında üst üste yerleştirin.
• Önleyici ve tespit edici denetimleri birlikte kullanın.
• Sınavdaki en iyi yanıt, en katmanlı, en az ayrıcalıklı ve AWS tarafından yönetilen çözümdür.