AWS beveiligingsproblemen - dummies

Om AWS (Amazon Web Services) te gebruiken, moet u de beveiliging van uw computer op een belangrijke manier riskeren. Beheerders en beveiligingsprofessionals kunnen zichzelf snel gek maken door te proberen deze onderling verbonden computers veilig te houden, maar dat hoort bij de taakomschrijving.

U moet de beste procedures volgen voor het beveiligen van de computersystemen, de gegevens die deze bevatten, uw lokale netwerk en alle producten van derden die u gebruikt. Bovendien moet u rekening houden met de training van gebruikers en het feit dat gebruikers ongetwijfeld alles vergeten wat u hen vertelt wanneer zij het klaslokaal verlaten, dus is zorgvuldig toezicht vereist.

De Amazon-visie op beveiliging

Aangezien zelfs de beste inspanningen van een leverancier waarschijnlijk slechts een bescheiden veiligheid bieden, moet de verkoper een proactieve houding aannemen ten aanzien van de beveiliging. Amazon doet er veel tijd aan om bekende beveiligingsproblemen met zijn API's op te sporen en op te lossen, maar beseft ook dat sommige kwetsbaarheden waarschijnlijk zullen ontsnappen, en dat is waar je in het spel komt. Amazon heeft een bepaald beleid om uw inbreng te stimuleren bij eventuele kwetsbaarheden die u tegenkomt.

Lees zeker het evaluatieproces van Amazon. Het proces laat ruimte voor Amazon om de schuld voor een kwestie door te geven aan een derde partij, of helemaal niets te doen. Hoewel Amazon proactief is, moet je je realiseren dat je nog steeds kwetsbaarheden kunt vinden die Amazon niet kan oplossen. Als gevolg hiervan zal beveiliging voor AWS altijd minder dan perfect blijken te zijn, wat betekent dat je ook een sterke, proactieve beveiligingshouding moet handhaven en niet afhankelijk bent van Amazon om alles te doen. Het belangrijkste dat u kunt doen als u met een cloudserviceverkoper zoals Amazon werkt, is doorgaan met het controleren van uw eigen systemen op tekenen van onverwachte activiteit.

De expertweergave van beveiliging

Terwijl u uw plan voor het gebruik van AWS doorwerkt om de IT-behoeften van uw organisatie te ondersteunen, moet u meer lezen dan de Amazon-visie op zaken als beveiliging. Het is niet onredelijk om te verwachten dat Amazon u over elk potentieel beveiligingsprobleem zal vertellen - het is alleen dat Amazon alleen die kwesties behandelt waarvan het bewijs echt is. Om het volledige beveiligingsverhaal te krijgen, moet u vertrouwen op externe experts, wat betekent dat u tijd moet besteden aan het online lokaliseren van deze informatie.

Een recent verhaal dient ter illustratie van het feit dat Amazon over elk beveiligingsprobleem minder dan nieuw is. In dit geval zijn hackers met een witte hoed erin geslaagd om de EC2-instantie van een derde partij van een andere instantie te hacken. Na toegang te hebben verkregen tot de derde instantie, konden de onderzoekers de beveiligingssleutels voor die instantie stelen.Het is onwaarschijnlijk dat Amazon je over dit soort onderzoek vertelt, dus je moet het zelf ontdekken.

Het probleem met veel van deze verhalen is dat de vakpers hen sensaliseert - waardoor ze er slechter uitzien dan ze in werkelijkheid zijn. U moet een balans vinden tussen wat u weet over de instellingen van uw organisatie, wat Amazon heeft gemeld over bekende beveiligingsproblemen en wat de vakpers heeft gepubliceerd over vermoedelijke beveiligingsproblemen bij het bepalen van de beveiligingsrisico's van het gebruik van AWS als uw cloudoplossing. Als onderdeel van uw planningsproces moet u ook overwegen wat andere cloudleveranciers bieden op het gebied van beveiliging. Waar het om gaat is dat het gebruik van de cloud nooit zo veilig is als het intern houden van uw IT, omdat meer verbindingen altijd meer kansen bieden voor iemand om uw installatie te hacken.

De realiteit van Amazon-beveiliging ontdekken

In de vorige twee delen wordt besproken wat Amazon wil toegeven als het gaat om beveiliging en wat onderzoekers proberen te overtuigen, is de huidige veiligheidstoestand van AWS. Deze twee tegengestelde opvattingen zijn van cruciaal belang voor je planningsproces, maar je moet ook rekening houden met ervaringen uit de praktijk als onderdeel van de mix. De beveiligingsonderzoekers van het Worcester Polytechnic Institute creëerden een voorwaarde waaronder AWS kon mislukken. Het is echter op deze manier niet echt mislukt in de echte wereld. De manier waarop AWS heeft gefaald, is met zijn back-upoplossingen.

Het verhaal vertelt over een bedrijf dat niet langer operationeel is. Het faalde toen iemand zijn EC2-instantie aantastte. Dit is geen gekunsteld experiment - het gebeurde in de echte wereld, en de betrokken hackers hebben echt schade aangericht, dus dit is het soort verhaal om meer geloofwaardigheid te geven aan het plannen van je gebruik van AWS.

Een ander verhaal vertelt hoe onverwachte gegevens worden gedumpt op door AWS verstrekte informatie van derden. In dit geval bevatten de gegevens persoonlijke informatie die was verzameld uit rapporten over letsel door de politie, drugtests, gedetailleerde doktersbezoeken en sofinummers. Gezien de implicaties van deze datalek kunnen de betrokken organisaties aansprakelijk zijn voor zowel criminele als civielrechtelijke kosten. Wanneer u met AWS werkt, moet u de noodzaak om geld te besparen temperen, omdat u later meer geld moet uitgeven om uzelf te verdedigen tegen een rechtszaak.

Gebruikmaken van best practices voor AWS-beveiliging

Amazon biedt u een aantal best practices voor beveiliging en het is een goed idee om het bijbehorende whitepaper te lezen als onderdeel van uw beveiligingsplanningsproces. De informatie die u krijgt, zal u helpen te begrijpen hoe u uw instellingen kunt configureren om de veiligheid vanuit het Amazon perspectief te maximaliseren, maar zoals de voorgaande secties aantonen, is zelfs een geweldige configuratie niet genoeg om uw gegevens te beschermen. Ja, u moet ervoor zorgen dat uw opstelling de beste praktijken van Amazon volgt, maar u moet ook plannen hebben voor de onvermijdelijke datalek. Deze verklaring lijkt misschien negatief, maar als het gaat om veiligheid, moet u altijd uitgaan van het worstcasescenario en strategieën voorbereiden om deze te hanteren.