AWS Security Issues - dummies

Para usar o AWS (Amazon Web Services), você deve arriscar a segurança do seu computador de uma maneira importante. Administradores e profissionais de segurança podem rapidamente ficar loucos tentando manter esses computadores interligados seguros, mas isso faz parte da descrição do trabalho.

Você deve seguir as melhores práticas para proteger os sistemas informáticos, os dados que eles contêm, sua rede local e quaisquer produtos de terceiros que você use. Além disso, você deve considerar o treinamento do usuário e o fato de que os usuários, sem dúvida, esquecem tudo o que você lhes diz no segundo, eles deixam a sala de aula, é necessário um exame diligente.

A visão de segurança da Amazon

Dado que mesmo os melhores esforços por parte de qualquer fornecedor provavelmente fornecerão apenas segurança moderada, o fornecedor deve manter uma posição pró-ativa em segurança. A Amazon faz muito tempo tentando rastrear e corrigir problemas de segurança conhecidos com suas APIs, mas também percebe que algumas vulnerabilidades provavelmente escapariam, o que é o lugar onde você entra em jogo. A Amazon tem uma política declarada de incentivar sua entrada em todas as vulnerabilidades que você encontrar.

Certifique-se de ler o processo de avaliação da Amazon. O processo deixa espaço para que a Amazônia passe a culpa por um problema em um terceiro, ou não faça nada. Mesmo que a Amazon seja pró-ativa, você precisa perceber que você ainda pode encontrar vulnerabilidades que a Amazon não faz nada para consertar. Como resultado, a segurança para a AWS sempre será menos do que perfeita, o que significa que você também precisa manter uma postura de segurança forte e pró-ativa e não depender da Amazônia para fazer tudo. A coisa mais importante que você pode fazer ao trabalhar com um fornecedor de serviços da nuvem, como a Amazon, é continuar monitorando seus próprios sistemas para qualquer sinal de atividade inesperada.

A visão experiente da segurança

Ao trabalhar com o seu plano para usar a AWS para suportar as necessidades de TI da sua organização, você precisa ler mais do que a visão da Amazon de questões como a segurança. Esperar que a Amazon lhe conte sobre todas as questões potenciais de segurança não é razoável - é só que a Amazon lida apenas com as questões que tem provas reais. Para obter a história de segurança completa, você deve confiar em especialistas de terceiros, o que significa que você precisa gastar tempo localizando esta informação online.

Uma história recente serve para ilustrar que a Amazon é menos do que próxima sobre todas as questões de segurança. Neste caso, os hackers de capas brancas conseguiram invadir a instância EC2 de terceiros de outra instância. Depois de ter acesso à instância de terceiros, os pesquisadores conseguiram roubar as chaves de segurança para essa instância.É improvável que a Amazon conteça sobre esse tipo de pesquisa, então você precisa descobrir isso sozinho.

O problema com muitas dessas histórias é que a imprensa comercial tende a sensacionalizá-las - tornando-as mais pior do que realmente são. Você precisa equilibrar o que você conhece sobre a configuração da sua organização, o que a Amazon realmente reportou sobre problemas de segurança conhecidos e o que a imprensa comercial publicou sobre suspeitas de problemas de segurança ao determinar os riscos de segurança de usar a AWS como sua solução em nuvem. Como parte do seu processo de planejamento, você também precisa considerar o que outros fornecedores de nuvem fornecem no caminho da segurança. A linha inferior é que usar a nuvem nunca será tão seguro como manter sua TI internamente porque mais conexões sempre soletram mais oportunidades para alguém cortar sua configuração.

Descobrindo a realidade da segurança da Amazon

As duas seções anteriores discutem o que a Amazon está disposta a admitir quando se trata de segurança e o que os pesquisadores estão tentando convencê-lo é o estado atual de segurança da AWS. Essas duas visões opostas são fundamentais para seu processo de planejamento, mas você também precisa considerar as experiências do mundo real como parte da mistura. Os pesquisadores de segurança do Worcester Polytechnic Institute criaram uma condição sob a qual a AWS poderia falhar. No entanto, na verdade não falhou dessa maneira no mundo real. A forma como a AWS tem realmente falhou é com suas soluções de backup.

A história conta de uma empresa que não está mais operacional. Ele falhou quando alguém comprometeu sua instância EC2. Este não é um experimento artificial - aconteceu no mundo real, e os hackers envolvidos causaram dano real, então esse é o tipo de história para dar maior credibilidade quando você planeja seu uso da AWS.

Outra história relaciona o vazamento de dados inesperados na AWS disponibilizou informações de terceiros. Nesse caso, os dados incluíram informações pessoais obtidas de relatórios de lesões policiais, exames de drogas, notas detalhadas de visitas médicas e números de segurança social. Dadas as implicações desta violação de dados, as organizações envolvidas podem ser responsáveis ​​por acusações criminais e civis. Ao trabalhar com a AWS, você deve temperar a necessidade de economizar dinheiro agora com a necessidade de gastar mais dinheiro depois defendendo-se contra uma ação judicial.

Empregando as melhores práticas de segurança AWS

A Amazon fornece um conjunto de práticas recomendadas de segurança e é uma boa idéia para você ler o documento técnico associado como parte do seu processo de planejamento de segurança. As informações que você obterá irão ajudá-lo a entender como configurar sua configuração para maximizar a segurança da perspectiva da Amazônia, mas, como as seções anteriores mostram, mesmo uma ótima configuração pode não ser suficiente para proteger seus dados. Sim, você deve garantir que sua instalação siga as melhores práticas da Amazon, mas você também precisa ter planos para a inevitável violação de dados. Esta afirmação pode parecer negativa, mas quando se trata de segurança, você deve sempre assumir o pior caso e preparar estratégias para lidar com isso.