Security Essentials

Sicurezza e conformità sono una responsabilità condivisa tra AWS e il cliente. Seguendo questo modello condiviso, i clienti possono ridurre il carico operativo poiché AWS si assume la responsabilità del funzionamento, della gestione e del controllo dei componenti "del cloud". Ciò consente ai clienti di concentrarsi sulla creazione delle proprie applicazioni e sull'implementazione dei propri servizi, assumendosi al contempo la responsabilità di proteggere tali servizi "nel cloud". Scopri di più sul modello di responsabilità condivisa.

Quando crei un account AWS, inizi con quello che è noto come utente root. Questo è il primo utente AWS che esiste all'interno del tuo account AWS. AWS consiglia di non utilizzare questo account per le operazioni quotidiane in quanto ha pieno accesso e controllo dell'account e dovrebbe seguire le best practice consigliate per proteggere tale utente root. Ciò comporta il blocco delle chiavi di accesso dell'utente root, l'uso di una password complessa, l'abilitazione dell'autenticazione a più fattori AWS e la creazione di un utente IAM per accedere al tuo account. A questo account possono essere assegnati i privilegi di amministratore e potrà essere utilizzato per tutte le attività amministrative future.

Successivamente, dovresti assegnare dei contatti di sicurezza alternativi al tuo account. Il contatto di sicurezza alternativo riceverà notifiche relative alla sicurezza, incluse le notifiche dal team AWS Trust & Safety. Puoi saperne di più sull'importanza di impostare queste informazioni di contatto all'inizio della configurazione dell'account nel post del blog Aggiornamento del contatto di sicurezza alternativo negli account AWS per notifiche di sicurezza tempestive.

Dopo aver confermato i tuoi contatti di sicurezza, dovresti considerare le Regioni AWS in cui devono essere eseguiti i carichi di lavoro e quelle in cui non devono essere eseguiti. È quindi possibile bloccare le Regioni inutilizzate per essere certi che nessun carico di lavoro venga eseguito da tali Regioni. Questo aiuta a ottimizzare i costi, ma si presta anche alla sicurezza. In che modo? Bloccando le Regioni in cui non prevedi di eseguire carichi di lavoro, puoi concentrare i tuoi sforzi di monitoraggio sulle Regioni che utilizzi attivamente.

A questo punto, hai protetto l'utente root, creato uno o più utenti IAM, assegnato contatti di sicurezza e bloccato le regioni in cui possono essere eseguiti i carichi di lavoro. Successivamente, consideriamo come gli utenti interagiranno con le risorse AWS. Esistono due metodi principali di interazione: l'interfaccia a riga di comando (AWS CLI) e la Console di gestione AWS. Si consiglia di configurare l'autenticazione unica (SSO) per AWS CLI e la console. Consulta l'articolo Configurazione di AWS CLI per utilizzare il Centro identità AWS IAM (successore di AWS Single Sign-On) per i dettagli su come gestire centralmente l'accesso con il Centro identità AWS IAM.

Il passaggio successivo per proteggere il tuo account consiste nel configurare gruppi di utenti IAM AWS per controllare l'accesso. Anziché controllare l'accesso dei singoli utenti impostando le policy direttamente sull'utente, è preferibile creare un gruppo, assegnargli le autorizzazioni necessarie e quindi assegnare gli utenti al gruppo. Gli utenti erediteranno le autorizzazioni di quel gruppo. Ciò offre un modo più scalabile per fornire il controllo degli accessi a molti utenti. È importante capire come funzionano IAM e i gruppi IAM perché si estendono su più servizi. IAM è un servizio che interagisce in una certa misura con tutti i servizi AWS, quindi assicurati di dedicare del tempo per familiarizzare con IAM.

Seguire queste pratiche sin dall'inizio ti aiuterà a fornire un accesso sicuro alle tue risorse AWS. Successivamente discuteremo di come proteggere l'infrastruttura che viene creata su AWS.

L'infrastruttura che costruisci viene spesso trascurata in quanto fa parte dell'architettura sottostante e non è qualcosa che si rivolge al cliente. Tuttavia, se l'infrastruttura riporta un errore, anche i servizi forniti ai clienti non riescono. Per questo motivo, è fondamentale che l'infrastruttura sia protetta sin dal primo giorno.

Man mano che costruisci la tua infrastruttura cloud, inizierai creando un Amazon Virtual Private Cloud (Amazon VPC). Questa è una rete virtuale che viene definita (ne viene creata una predefinita in ogni Regione quando crei il tuo account) e consente di avviare risorse. Un VPC assomiglia a una rete tradizionale in quanto ha un intervallo di indirizzi IP CIDR assegnato ed è suddiviso mediante la creazione di sottoreti. Le sottoreti possono essere utilizzate per garantire l'isolamento per diversi set di risorse e possono essere pubbliche o private. Le sottoreti pubbliche hanno un percorso verso un gateway Internet, hanno accesso a Internet tramite questo gateway e possono essere raggiunte da Internet se i relativi controlli di accesso lo consentono. Anche le sottoreti private dispongono di una tabella di routing, ma non dispongono di un percorso verso un gateway Internet, quindi per impostazione predefinita non possono raggiungere Internet e non possono essere raggiunte da Internet. Per consentire alle risorse di una sottorete privata di accedere a Internet, è necessario un gateway NAT. A livello di sottorete, una lista di controllo degli accessi (ACL) di rete consente o nega traffico specifico in entrata o in uscita. Puoi utilizzare l'ACL di rete predefinita per il tuo VPC oppure puoi creare un'ACL di rete personalizzata. Le ACL di rete sono elenchi numerati, elaborati dall'alto verso il basso e sono stateless. Ciò significa che è necessaria una regola ACL di rete in entrata e in uscita per consentire il traffico bidirezionale.

Quando implementi le risorse EC2 nel tuo VPC, assocerai ad esse un gruppo di sicurezza. Un gruppo di sicurezza controlla il traffico in entrata e in uscita che può raggiungere le risorse EC2. I gruppi di sicurezza sono simili a un firewall, ma invece di utilizzare solo un elenco o un intervallo di indirizzi IP, possono puntare a qualcosa chiamato riferimento alle risorse. Un riferimento a una risorsa è un gruppo specifico che mantiene un elenco aggiornato di indirizzi IP assegnati a ciascuna risorsa del gruppo. Ad esempio, se crei un gruppo con scalabilità automatica per avviare istanze Amazon EC2, a ciascuna istanza viene assegnato un nuovo IP all'avvio. Aggiungendo un gruppo di sicurezza a queste istanze, puoi concedere l'accesso al gruppo di sicurezza del tuo server di database tramite l'ID del gruppo di sicurezza delle istanze EC2 e qualsiasi nuova istanza EC2 avviata avrà accesso al database senza dover aggiungere il proprio indirizzo IP all'elenco consentito.

Le regole dei gruppi di sicurezza sono simili alle ACL di rete perché quando le crei, corrispondono per porta, protocollo e indirizzi, ma sono stateful, ovvero puoi considerarle simili a un firewall stateful. Quando si crea una voce per consentire un tipo specifico di traffico, non è necessario creare una regola che corrisponda al traffico di ritorno; essendo stateful, il traffico di ritorno sarà consentito. Per comprendere meglio come interagiscono i gruppi di sicurezza e le ACL, questo confronto è utile.

Per aggiungere un ulteriore livello di sicurezza dell'infrastruttura, puoi implementare il Firewall di rete AWS. Il Firewall di rete è un servizio gestito che implementa la protezione per il tuo Amazon VPC. Fornisce una protezione più precisa dei gruppi di sicurezza in quanto può incorporare il contesto dai flussi di traffico, ad esempio il tracciamento di connessioni e l'identificazione di protocolli, per applicare policy come evitare che il VPC acceda ai domini utilizzando un protocollo non autorizzato. Ciò è possibile attraverso la configurazione delle regole Suricata personalizzate. Ad esempio, puoi configurare il Firewall di rete per proteggerti dagli attacchi di malware. Un ulteriore passo è l'implementazione di un altro servizio gestito, AWS Shield Avanzato, per proteggerti dalle minacce DDoS.

I clienti archiviano una grande quantità di dati nel cloud AWS. Questi dati contengono informazioni fondamentali per il funzionamento di un'organizzazione. Includono dati dei clienti, proprietà intellettuale, ordini collegati direttamente alle entrate e altro ancora. In questa sezione, condividiamo le informazioni essenziali per configurare i dati archiviati in AWS e i dati trasferiti sulla rete da e verso AWS.

In AWS, i dati vengono archiviati in Amazon S3, che dispone di diversi controlli per proteggere i dati. L'articolo Le 10 migliori pratiche di sicurezza per proteggere i dati in Amazon S3 descrive le tecniche più importanti. Queste includono il blocco dei bucket S3 pubblici a livello di organizzazione, l'utilizzo delle policy dei bucket per verificare che tutti gli accessi concessi siano limitati e specifici e la crittografia e la protezione dei dati.

Per la crittografia, Servizio di gestione delle chiavi AWS (AWS KMS) consente di creare e controllare le chiavi utilizzate per crittografare o firmare digitalmente i dati. Se desideri crittografare i tuoi dati su AWS, hai diverse opzioni. La prima consiste nell'utilizzare una crittografia lato server con chiavi di crittografia gestite da Amazon S3 (SSE-S3). Utilizzando questo metodo, la crittografia avviene dopo l'invio dei dati ad AWS tramite chiavi gestite da AWS.

La seconda opzione consiste nel crittografare i dati una volta che sono in AWS, ma anziché utilizzare chiavi create e gestite da AWS, eseguire la crittografia lato server con chiavi master del cliente (CMK) archiviate in AWS KMS (SSE-KMS).

La terza opzione per archiviare dati crittografati in AWS consiste nell'utilizzare la crittografia lato client. Con questo approccio, i dati vengono crittografati prima di essere trasferiti in AWS.

Un esempio di come la crittografia lato client e la crittografia lato server siano vantaggiose per i clienti è riportato nell'immagine seguente.

Le VPN possono comprendere diverse tecnologie. L'idea alla base di una VPN è che i dati in transito mantengano la loro integrità e possano essere scambiati in modo sicuro tra due parti. AWS offre diverse tecnologie che aiutano a proteggere i dati in transito. Uno di questi è AWS PrivateLink, che fornisce connettività privata crittografata tra VPC, servizi AWS e reti on-premise. Ciò si realizza senza esporre il tuo traffico alla rete Internet pubblica. Anche questa potrebbe essere considerata una rete privata virtuale.

Tuttavia, nella maggior parte dei casi, una discussione sulla VPN ruota attorno all'uso della crittografia dei dati. A seconda delle circostanze, potrebbe essere necessario fornire la crittografia tra un client e le risorse cloud AWS. Questa situazione richiederebbe VPN Client di AWS. D'altra parte, potresti passare dati tra il tuo data center o filiale e le tue risorse AWS. Ciò è possibile utilizzando i tunnel IPsec tra le tue risorse on-premise e i nostri Amazon VPC o AWS Transit Gateway. Questa connettività sicura è nota come VPN sito-sito.

Infine, anche la gestione delle risorse cloud tramite la Console di gestione AWS offre dati in transito crittografati. Sebbene normalmente non si faccia riferimento alla connettività con la console come a una VPN, la sessione utilizza la crittografia TLS (Transport Layer Security). Pertanto, mentre si crea l'architettura sicura le configurazioni vengono mantenute riservate. TLS viene utilizzato anche con l'API AWS.

AWS offre diversi servizi gestiti per agevolare il monitoraggio dell'ambiente, insieme a opzioni self-service. Ad esempio, è possibile utilizzare flussi di log VPC per registrare e visualizzare i flussi di traffico di rete oppure usare Amazon CloudWatch per analizzare i log AWS WAF o persino per creare allarmi per le istanze EC2. Puoi saperne di più su Amazon CloudWatch in questo workshop.

AWS CloudTrail monitora e registra l'attività degli account nella tua infrastruttura AWS, dandoti il controllo sull'archiviazione, l'analisi e le operazioni di ripristino. Ciò è essenziale per creare un audit trail amministrativo, identificare gli incidenti di sicurezza e risolvere i problemi operativi.

Infine, Amazon GuardDuty può essere utilizzato per il rilevamento delle minacce e persino per fare un ulteriore passo avanti facendo sì che i risultati pubblicati avviino azioni di riparazione automatica all'interno dell'ambiente AWS.

Affrontando ciascuna di queste aree operative, sarai sulla buona strada per stabilire le funzionalità di sicurezza essenziali per il tuo ambiente cloud.