Rekening houdend met AWS-beveiligingsproblemen - dummies

Alle webservices hebben beveiligingsproblemen, waaronder AWS. De veiligste computer ter wereld heeft geen enkele input. Natuurlijk heeft deze superbeveiligde computer ook geen echt doel, omdat computers zonder invoer nutteloos zijn.

Een computer voor individueel gebruik, één zonder verbindingen met een andere computer, is het volgende veiligste type. Een computer waarvan de verbindingen alleen binnen een werkgroep bestaan, komt in de volgende, enzovoort. De minst beveiligde computer is degene met externe verbindingen. Om AWS te gebruiken, moet u de beveiliging van uw computer op een belangrijke manier riskeren. Ontwikkelaars kunnen zichzelf snel gek maken door te proberen deze onderling verbonden computers veilig te houden, maar dat hoort bij de taakomschrijving.

De weergave van Amazon van beveiliging

krijgen Gezien het feit dat zelfs de beste inspanningen van een leverancier waarschijnlijk slechts een bescheiden beveiliging bieden, moet de leverancier een proactieve houding aannemen ten aanzien van de beveiliging. Hoewel Amazon veel tijd besteedt aan het traceren van bekende beveiligingsproblemen met zijn API's, realiseert het zich ook dat sommige kwetsbaarheden waarschijnlijk zullen ontsnappen, en dat is waar je in het spel komt. Amazon heeft een bepaald beleid om uw inbreng te stimuleren bij eventuele kwetsbaarheden die u tegenkomt.

Lees zeker het evaluatieproces van Amazon. Het proces laat ruimte voor Amazon om de schuld voor een probleem door te geven aan een derde partij, of helemaal niets te doen. Hoewel Amazon proactief is, moet je je realiseren dat je nog steeds kwetsbaarheden kunt vinden die Amazon niet kan oplossen. Als gevolg hiervan zal beveiliging voor AWS altijd minder dan perfect blijken te zijn, wat betekent dat je ook een sterke, proactieve beveiligingshouding moet handhaven en niet afhankelijk bent van Amazon om alles te doen.

Het belangrijkste dat u kunt doen als u met een cloudserviceleverancier zoals Amazon werkt, is doorgaan met het bewaken van uw eigen systemen op tekenen van onverwachte activiteit.

De expertweergave van beveiliging bekijken

Terwijl u uw plan voor het gebruik van AWS doorwerkt om de IT-behoeften van uw organisatie te ondersteunen, moet u meer lezen dan het Amazon-perspectief van zaken als beveiliging. Het is niet onredelijk om te verwachten dat Amazon je over elk mogelijk beveiligingsprobleem zal vertellen - het is gewoon dat Amazon bewijs nodig heeft voordat het een probleem aanpakt. Om het volledige beveiligingsverhaal te krijgen, moet u vertrouwen op externe experts, wat betekent dat u tijd moet besteden aan het online lokaliseren van deze informatie. (Een bezoek aan deze blog zal in dit opzicht helpen, omdat updates voor beveiligingsproblemen worden besproken).

Een recent verhaal dient ter illustratie van het feit dat Amazon over elk beveiligingsprobleem minder dan nieuw is.In dit geval zijn hackers van witte hoeden (beveiligingstesters) erin geslaagd om de EC2-instantie van een derde partij van een andere instantie te hacken. Na toegang te hebben verkregen tot de derde instantie, konden de onderzoekers de beveiligingssleutels voor die instantie stelen. Het is onwaarschijnlijk dat Amazon je over dit soort onderzoek vertelt, dus je moet het zelf ontdekken.

Het probleem met veel van deze verhalen is dat de vakpers hen sensaliseert, waardoor ze er slechter uitzien dan ze in werkelijkheid zijn. U moet een balans vinden tussen wat u weet over de instellingen van uw organisatie, wat Amazon heeft gemeld over bekende beveiligingsproblemen en wat de vakpers heeft gepubliceerd over vermoedelijke beveiligingsproblemen bij het bepalen van de beveiligingsrisico's van het gebruik van AWS als uw cloudoplossing. Als onderdeel van uw planningsproces moet u ook overwegen wat andere cloudleveranciers bieden op het gebied van beveiliging. Waar het om gaat is dat het gebruik van de cloud nooit zo veilig is als het in huis houden van uw IT, omdat meer verbindingen altijd meer kansen bieden voor iemand om uw installatie te hacken.

De realiteit van Amazon-beveiliging

Wat Amazon wil toegeven als het gaat om beveiliging en wat onderzoekers u proberen te overtuigen, is de werkelijke veiligheidstoestand van AWS twee standpunten die cruciaal zijn voor uw planningsproces. Je moet ook rekening houden met ervaringen uit de echte wereld als onderdeel van de mix. De beveiligingsonderzoekers van het Worcester Polytechnic Institute creëerden een voorwaarde waaronder AWS kon mislukken. Het is echter op deze manier niet echt mislukt in de echte wereld. De manier waarop AWS heeft gefaald, is met zijn back-upoplossingen.

Dit verhaal vertelt over een bedrijf dat niet langer operationeel is. Het faalde toen iemand zijn EC2-instantie in gevaar bracht. Dit is geen gekunsteld experiment; het gebeurde echt en de betrokken hackers hebben echt schade aangericht. Dit is dus het soort verhaal dat meer geloofwaardigheid verleent wanneer u uw gebruik van AWS plant.

Een ander verhaal vertelt hoe onverwachte gegevens worden gedumpt op door AWS verstrekte informatie van derden. In dit geval bevatten de gegevens persoonlijke informatie die was verzameld uit rapporten over politionele gewonden, drugtests, gedetailleerde doktersbezoeken en sofinummers. Gezien de implicaties van deze datalek kunnen de betrokken organisaties aansprakelijk zijn voor zowel criminele als civielrechtelijke kosten. Wanneer u met AWS werkt, moet u de noodzaak om geld te besparen temperen, omdat u later meer geld moet uitgeven om uzelf te verdedigen tegen een rechtszaak.

Best practices uitwisselen met AWS

Amazon biedt u een aantal best practices voor beveiliging en het is een goed idee om het bijbehorende whitepaper te lezen als onderdeel van uw beveiligingsplanningsproces. De informatie die u krijgt, zal u helpen te begrijpen hoe u uw instellingen kunt configureren om de veiligheid vanuit het Amazon-perspectief te maximaliseren, maar zelfs een geweldige configuratie is misschien niet genoeg om uw gegevens te beschermen. Ja, u moet ervoor zorgen dat uw opstelling de beste praktijken van Amazon volgt, maar u moet ook plannen hebben voor de onvermijdelijke datalek.Deze bewering lijkt misschien negatief, maar als het gaat om veiligheid, moet u altijd uitgaan van het worstcasescenario en strategieën voorbereiden om het af te handelen.

De IAM-beleidssimulator gebruiken om toegang te controleren

Er is een schat aan hulpmiddelen die u als ontwikkelaar kunt gebruiken om uw risico te verminderen wanneer u met AWS werkt. (Voor toegang tot de meeste van deze tools moet je inloggen op je AWS-account.) Een van de interessantere tools die je nu moet weten, is de IAM-beleidssimulator, die je kan vertellen over de rechten van een gebruiker, groep, of rol heeft AWS-bronnen. Als u deze rechten kent, kunt u betere toepassingen maken en de beveiliging vergrendelen, zodat gebruikers erop kunnen vertrouwen dat uw toepassingen werken, maar in een veilige omgeving.

Gebruik de IAM-beleidssimulator om te ontdekken hoe AWS-beveiliging werkt.

Als u deze simulator wilt gebruiken, selecteert u een gebruiker, groep of rol in het linkerdeelvenster. U kunt een of meer van de beleidsregels voor die gebruiker, groep of rol selecteren en zelfs de JavaScript Object Notation-code (JSON) voor dat beleid bekijken. Het beleid AdministratorAccess ziet er bijvoorbeeld als volgt uit:

{

"Version": "2012-10-17",

"Statement": [

{

"Effect": "Toestaan ",

" Action ":" * ",

" Resource ":" * "

}

]

}

In wezen staat in dit beleid dat de gebruiker toestemming heeft om te presteren elke actie met behulp van een bron. Het veld Effect kan Toestaan of Weigeren bevatten om een actie toe te staan of te weigeren. Het actieveld bevat een asterisk (*) om aan te geven dat alle acties in het spel komen. Ten slotte bevat het veld Bron * om aan te geven dat dit beleid invloed heeft op elke AWS-bron.

Als u een simulatie tegen een bepaalde gebruiker, groep, rol of beleid wilt uitvoeren, moet u een service kiezen, zoals Amazon Elastic File System. U kunt vervolgens de acties selecteren die u wilt controleren of op Alles selecteren klikken om alle acties te selecteren die aan de service zijn gekoppeld. Klik op Simulatie uitvoeren om de test te voltooien.