Mempertimbangkan Masalah Keamanan AWS - dummies

Semua layanan web memiliki masalah keamanan, termasuk AWS. Komputer yang paling aman di dunia tidak memiliki masukan sama sekali. Tentu saja, komputer super aman ini juga tidak memiliki tujuan dunia nyata karena komputer tanpa input tidak ada gunanya.

Komputer penggunaan perorangan, yang tanpa koneksi ke komputer lain, adalah jenis yang paling aman berikutnya. Komputer yang koneksi hanya ada di dalam kelompok kerja masuk berikutnya, dan seterusnya. Komputer yang paling tidak aman adalah komputer dengan koneksi luar. Untuk menggunakan AWS, Anda harus mengambil risiko keamanan komputer Anda secara besar-besaran. Pengembang dapat dengan cepat membuat diri mereka tergila-gila mencoba menjaga agar komputer yang saling berhubungan ini aman, namun itu adalah bagian dari uraian tugas.

Mendapatkan tampilan keamanan Amazon

Mengingat bahwa bahkan upaya terbaik dari vendor pun kemungkinan hanya akan memberikan keamanan moderat, vendor harus mempertahankan sikap proaktif terhadap keamanan. Meskipun Amazon menghabiskan banyak waktu untuk mencoba melacak dan memperbaiki masalah keamanan yang diketahui dengan API-nya, ia juga menyadari bahwa beberapa kerentanan cenderung lolos dari pemberitahuan, di mana Anda ikut bermain. Amazon memiliki kebijakan yang menyatakan dorongan masukan Anda pada setiap kerentanan yang Anda temukan.

Pastikan membaca proses evaluasi Amazon. Prosesnya menyisakan ruang bagi Amazon untuk menyebarkan kesalahan pada sebuah isu ke pihak ketiga, atau tidak melakukan apa-apa. Meskipun Amazon proaktif, Anda perlu menyadari bahwa Anda mungkin masih menemukan kerentanan bahwa Amazon tidak melakukan apa pun untuk diperbaiki. Akibatnya, keamanan untuk AWS akan selalu terbukti kurang sempurna, yang berarti Anda juga perlu mempertahankan sikap keamanan yang kuat dan proaktif dan tidak bergantung pada Amazon untuk melakukan semuanya.

Hal terpenting yang dapat Anda lakukan saat bekerja dengan vendor layanan awan seperti Amazon adalah terus memantau sistem Anda sendiri untuk mendapatkan tanda aktivitas tak terduga.

Mendapatkan tampilan pakar keamanan

Saat Anda mengerjakan rencananya untuk menggunakan AWS untuk mendukung kebutuhan TI organisasi Anda, Anda perlu membaca lebih banyak daripada pandangan Amazon tentang masalah seperti keamanan. Mengharapkan Amazon untuk memberitahu Anda tentang setiap masalah keamanan potensial tidak masuk akal - hanya saja Amazon memerlukan bukti sebelum membahas masalah. Untuk mendapatkan cerita keamanan penuh, Anda harus bergantung pada pakar pihak ketiga, yang berarti Anda harus meluangkan waktu untuk menemukan informasi ini secara online. (Kunjungan ke blog ini akan membantu dalam hal ini karena pembaruan untuk masalah keamanan dibahas).

Sebuah cerita baru-baru ini berfungsi untuk menggambarkan bahwa Amazon kurang dari yang akan datang mengenai setiap masalah keamanan.Dalam kasus ini, hacker white-hat (penguji keamanan) telah berhasil melakukan hack ke instance EC2 pihak ketiga dari contoh lain. Setelah mendapatkan akses ke instance pihak ketiga, para periset dapat mencuri kunci keamanan untuk kejadian itu. Amazon tidak mungkin memberi tahu Anda tentang penelitian semacam ini, jadi Anda perlu menemukannya sendiri.

Masalah dengan banyak dari cerita ini adalah bahwa pers perdagangan cenderung membuat sensasi mereka, membuat mereka tampak lebih buruk daripada sebenarnya. Anda perlu menyeimbangkan apa yang Anda ketahui tentang penyiapan organisasi Anda, apa yang sebenarnya telah dilaporkan Amazon tentang masalah keamanan yang diketahui, dan apa yang telah dipublikasikan oleh pers perdagangan tentang masalah keamanan yang dicurigai saat menentukan risiko keamanan menggunakan AWS sebagai solusi cloud Anda. Sebagai bagian dari proses perencanaan Anda, Anda juga perlu mempertimbangkan apa yang disediakan vendor awan lainnya di jalan keamanan. Intinya adalah bahwa menggunakan awan tidak akan pernah seaman menjaga TI Anda di rumah karena lebih banyak koneksi selalu mengeja lebih banyak kesempatan bagi seseorang untuk meng-hack penyiapan Anda.

Realitas keamanan Amazon

Apa yang Amazon mau akui dalam hal keamanan dan apa yang peneliti coba coba meyakinkan Anda adalah keadaan sebenarnya dari keamanan untuk AWS adalah dua pandangan yang sangat penting bagi proses perencanaan Anda. Anda juga perlu mempertimbangkan pengalaman di dunia nyata sebagai bagian dari campuran. Peneliti keamanan di Worcester Polytechnic Institute menciptakan sebuah kondisi dimana AWS bisa gagal. Namun, hal itu belum benar-benar gagal seperti ini di dunia nyata. Cara AWS benar-benar gagal adalah dengan solusi backup-nya. Cerita ini bercerita tentang perusahaan yang tidak beroperasi lagi. Ini gagal saat seseorang mengkompromikan contoh EC2-nya. Ini bukan eksperimen yang dibuat-buat; Itu benar-benar terjadi, dan para hacker terlibat melakukan kerusakan nyata. Jadi ini adalah jenis cerita untuk memberi kepercayaan lebih besar saat Anda merencanakan penggunaan AWS Anda.

Cerita lain menceritakan bagaimana data yang tidak terduga tersimpan pada AWS membuat informasi pihak ketiga tersedia. Dalam kasus ini, data mencakup informasi pribadi yang dikumpulkan dari laporan cedera polisi, tes obat terlarang, catatan kunjungan dokter terperinci, dan nomor jaminan sosial. Mengingat implikasi dari pelanggaran data ini, organisasi yang terlibat dapat bertanggung jawab atas tuduhan pidana dan perdata. Saat bekerja dengan AWS, Anda harus mengurangi kebutuhan untuk menghemat uang sekarang dengan kebutuhan untuk menghabiskan lebih banyak uang kemudian membela diri dari tuntutan hukum.

Mempekerjakan Praktik Terbaik Keamanan AWS

Amazon memberi Anda seperangkat praktik terbaik keamanan, dan sebaiknya Anda membaca kertas putih terkait sebagai bagian dari proses perencanaan keamanan Anda. Informasi yang Anda dapatkan akan membantu Anda memahami cara mengkonfigurasi penyiapan Anda untuk memaksimalkan keamanan dari perspektif Amazon, namun konfigurasi yang bagus mungkin tidak cukup untuk melindungi data Anda. Ya, Anda harus memastikan bahwa penyiapan Anda mengikuti praktik terbaik Amazon, namun Anda juga perlu menyiapkan rencana untuk pelanggaran data yang tak terelakkan.Pernyataan ini mungkin tampak negatif, tapi jika menyangkut keamanan, Anda harus selalu memikirkan skenario terburuk dan menyiapkan strategi untuk menanganinya.

Menggunakan Simulator Kebijakan IAM untuk memeriksa akses

Ada banyak alat yang dapat Anda gunakan sebagai pengembang untuk mengurangi risiko Anda saat bekerja dengan AWS. (Mengakses sebagian besar alat ini akan mengharuskan Anda masuk ke akun AWS Anda.) Namun, salah satu alat yang lebih menarik yang perlu Anda ketahui sekarang adalah Simulator Kebijakan IAM, yang dapat memberi tahu Anda tentang hak yang dimiliki pengguna, grup, atau peran harus sumber daya AWS. Mengetahui hak-hak ini dapat membantu Anda menciptakan aplikasi yang lebih baik sekaligus mengunci keamanan sehingga pengguna dapat mengandalkan aplikasi Anda untuk bekerja, namun berada dalam lingkungan yang aman.

Gunakan Simulator Kebijakan IAM untuk mengetahui bagaimana keamanan AWS bekerja.

Untuk menggunakan simulator ini, pilih pengguna, grup, atau peran di panel kiri. Anda dapat memilih satu atau beberapa kebijakan untuk pengguna, grup, atau peran tersebut dan bahkan melihat kode Notasi Objek JavaScript (JSON) untuk kebijakan tersebut. Misalnya, kebijakan AdministratorAccess terlihat seperti ini:

{

"Version": "2012-10-17",

"Statement": [

{

"Effect": "Allow ",

" Action ":" * ",

" Resource ":" * "

}

]

}

Pada dasarnya, kebijakan ini menyatakan bahwa pengguna diizinkan untuk melakukan setiap tindakan menggunakan sumber daya apapun Bidang Effect dapat berisi Allow or Deny untuk mengizinkan atau menolak suatu tindakan. Field Action berisi tanda bintang (*) untuk menunjukkan bahwa semua tindakan ikut bermain. Akhirnya, bidang Resource berisi * untuk menunjukkan bahwa kebijakan ini mempengaruhi setiap sumber daya AWS.

Untuk menjalankan simulasi terhadap pengguna, grup, peran, atau kebijakan tertentu, Anda harus memilih layanan, seperti Amazon Elastic File System. Anda kemudian dapat memilih tindakan yang ingin Anda periksa atau klik Pilih Semua untuk memilih semua tindakan yang terkait dengan layanan ini. Klik Run Simulation untuk menyelesaikan tes.

Administrator secara alami memiliki akses penuh ke setiap sumber daya.