Overvejer AWS-sikkerhedsproblemer - dummies

Alle webtjenester har sikkerhedsproblemer, herunder AWS. Den mest sikre computer i verden har intet input. Selvfølgelig har denne super-sikre computer heller ingen real-purpose formål, fordi computere uden input er ubrugelige.

En enkeltbrugscomputer, en uden forbindelser til en anden computer, er den næste mest sikre type. En computer, hvis forbindelser eksisterer kun inden for en arbejdsgruppe kommer ind i næste og så videre. Den mindst sikre computer er den med udvendige forbindelser. For at bruge AWS skal du risikere din computers sikkerhed på en vigtig måde. Udviklere kan hurtigt køre sig vanvittigt og forsøger at holde disse sammenkoblede computere sikkert, men det er en del af jobbeskrivelsen.

At få Amazonas syn på sikkerhed

Da selv den bedste indsats fra en leverandør sandsynligvis kun giver moderat sikkerhed, skal sælgeren opretholde en proaktiv holdning til sikkerheden. Selvom Amazon bruger en god del tid på at forsøge at spore og løse kendte sikkerhedsproblemer med dets API'er, indser det også, at nogle sårbarheder sandsynligvis vil undslippe varsel, hvilket er, hvor du kommer i spil. Amazon har en fastlagt politik for at opmuntre dine input til eventuelle sårbarheder, du finder.

Sørg for at læse Amazons evalueringsproces. Processen giver plads til, at Amazon passerer skylden for et problem på en tredjepart, eller gør slet ingenting. Selv om Amazon er proaktivt, skal du indse, at du stadig kan finde sårbarheder, som Amazon ikke gør noget for at rette op. Som følge heraf vil sikkerheden for AWS altid være mindre end perfekt, hvilket betyder at du også skal opretholde en stærk og proaktiv sikkerhedsstilling og ikke være afhængig af Amazon for at gøre alt.

Det vigtigste, du kan gøre, når du arbejder med en cloud service-sælger som Amazon, er at fortsætte med at overvåge dine egne systemer for ethvert tegn på uventet aktivitet.

Få ekspertens syn på sikkerhed

Når du arbejder gennem din plan for at bruge AWS til at understøtte organisationens it-behov, skal du læse mere end Amazon-visningen af ​​problemer som sikkerhed. Forvente Amazon at fortælle dig om ethvert potentielt sikkerhedsproblem er ikke urimeligt - det er bare, at Amazon kræver bevis før det behandler et problem. For at få den fulde sikkerhedshistorie skal du stole på eksperter fra tredjepart, hvilket betyder at du skal bruge tid på at finde disse oplysninger online. (Et besøg på denne blog vil hjælpe i denne henseende, fordi opdateringer til sikkerhedsspørgsmål diskuteres).

En nyere historie tjener til at illustrere, at Amazon er mindre end kommende om ethvert sikkerhedsspørgsmål.I dette tilfælde har hvide hat hackere (sikkerhedstestere) formået at hakke i en tredjeparts EC2-instans fra et andet tilfælde. Efter at have fået adgang til tredjepartsinstansen kunne forskerne stjæle sikkerhedsnøglerne for den instans. Amazon er usandsynligt at fortælle dig om denne form for forskning, så du skal opdage det selv.

Problemet med mange af disse historier er, at handelspressen har en tendens til at sensationalisere dem, så de bliver værre end de virkelig er. Du skal afbalancere hvad du ved om din organisations opsætning, hvad Amazon har rapporteret om kendte sikkerhedsproblemer, og hvad handelspressen har offentliggjort om mistænkte sikkerhedsproblemer, når du bestemmer sikkerhedsrisikoen ved at bruge AWS som din sky-løsning. Som en del af din planlægningsproces skal du også overveje, hvad andre cloud-leverandører leverer i vejen for sikkerhed. Den nederste linie er at brugen af ​​skyen aldrig vil være så sikker som at holde din IT hjemme, fordi flere forbindelser altid staver flere muligheder for at nogen kan hackere dit setup.

Amazonens sikkerhed

Hvad Amazon er villig til at indrømme, når det kommer til sikkerhed, og hvad forskere forsøger at overbevise dig, er den faktiske sikkerhedstilstand for AWS, der er to synspunkter, der er afgørende for din planlægningsproces. Du skal også overveje virkelige oplevelser som en del af blandingen. Sikkerhedsforskerne ved Worcester Polytechnic Institute skabte en betingelse, hvorefter AWS kunne mislykkes. Det har imidlertid ikke faktisk mislykkedes på den måde i den virkelige verden. Den måde, hvorpå AWS har faktisk mislykkedes, er med sine backup løsninger.

Denne historie fortæller om et firma, der ikke længere er i drift. Det mislykkedes, da nogen kompromitterede sin EC2-forekomst. Dette er ikke et konstrueret eksperiment; det skete faktisk, og de involverede hackere gjorde reelle skader. Så det er den slags historie, der giver større tro på, når du planlægger din brug af AWS.

En anden historie vedrører, hvordan uventede datafald på AWS har gjort tredjepartsoplysninger tilgængelige. I dette tilfælde indeholdt dataene personlige oplysninger hentet fra politiets skaderapporter, lægemiddelprøver, detaljerede lægebesøg notater og sociale sikringsnumre. I betragtning af konsekvenserne af denne overtrædelse af oplysningerne kunne de involverede organisationer være ansvarlige for både strafferetlige og civile afgifter. Når du arbejder med AWS, skal du temperere behovet for at spare penge nu med behovet for at bruge flere penge senere at forsvare dig mod en retssag.

Anvender AWS-sikkerhedens bedste praksis

Amazon giver dig et sæt sikkerhedspraksis, og det er en god ide at læse det tilhørende hvidbog som en del af din sikkerhedsplanlægningsproces. De oplysninger, du får, hjælper dig med at forstå, hvordan du konfigurerer dit opsætning for at maksimere sikkerheden fra Amazon-perspektivet, men selv en god konfiguration er muligvis ikke tilstrækkelig til at beskytte dine data. Ja, du bør sørge for, at dit opsætning følger Amazons bedste praksis, men du skal også have planer for det uundgåelige data brud.Denne erklæring kan virke negativ, men når det kommer til sikkerhed, skal du altid tage det værste tilfælde ud og udarbejde strategier til håndtering af det.

Brug af IAM Policy Simulator til at kontrollere adgangen

Der er et væld af værktøjer, du kan bruge som udvikler til at reducere din risiko, når du arbejder med AWS. (Adgang til de fleste af disse værktøjer kræver, at du logger ind på din AWS-konto.) Et af de mere interessante værktøjer, du skal vide om nu, er IAM Policy Simulator, som kan fortælle dig om de rettigheder, som en bruger, gruppe, eller rolle har til AWS ressourcer. At kende disse rettigheder kan hjælpe dig med at skabe bedre applikationer samt låse sikkerhed, så brugerne kan stole på dine applikationer til at fungere, men i et sikkert miljø.

Brug IAM Policy Simulator til at opdage, hvordan AWS-sikkerhed fungerer.

For at bruge denne simulator skal du vælge en bruger, gruppe eller rolle i venstre rude. Du kan vælge en eller flere af politikkerne for den bruger, gruppe eller rolle og endda se JavaScript Object Notation (JSON) -koden for den pågældende politik. For eksempel ser Administrator Access-politikken ud:

{

"Version": "2012-10-17",

"Erklæring": [

{

"Effekt": "Tillad ",

" Action ":" * ",

" Ressource ":" * "

}

]

}

Denne politik siger i det væsentlige, at brugeren har lov til at udføre enhver handling ved hjælp af en ressource. Effektfeltet kan indeholde Tillad eller Afvis for at tillade eller nægte en handling. Handlingsfeltet indeholder en stjerne (*) for at vise, at alle handlingerne kommer i spil. Endelig indeholder Ressource-feltet * for at vise, at denne politik påvirker alle AWS-ressourcer.

Hvis du vil køre en simulation mod en bestemt bruger, gruppe, rolle eller politik, skal du vælge en tjeneste, som f.eks. Amazon Elastic File System. Du kan derefter vælge de handlinger, du vil kontrollere, eller klik på Vælg alle for at vælge alle de handlinger, der er knyttet til tjenesten. Klik på Kør simulering for at afslutte testen.

Administratorer har naturligvis fuld adgang til alle ressourcer.