Problemi di sicurezza diWS - manichini

Per utilizzare AWS (Amazon Web Services), è necessario mettere a rischio la sicurezza del proprio computer. Gli amministratori e i professionisti della sicurezza possono impazzire rapidamente cercando di mantenere sicuri questi computer interconnessi, ma questo fa parte della descrizione del lavoro.

È necessario seguire le migliori pratiche per proteggere i sistemi informatici, i dati che contengono, la rete locale e tutti i prodotti di terze parti utilizzati. Inoltre, è necessario considerare la formazione degli utenti e il fatto che gli utenti dimentichino senza dubbio tutto ciò che si dice loro nel momento in cui lasciano la classe, per cui è necessaria una supervisione diligente.

La visione Amazon della sicurezza

Dato che anche gli sforzi migliori da parte di qualsiasi fornitore forniranno probabilmente solo una moderata sicurezza, il venditore dovrebbe mantenere un atteggiamento proattivo sulla sicurezza. Amazon impiega molto tempo a cercare di rintracciare e risolvere problemi di sicurezza noti con le sue API, ma si rende conto anche che alcune vulnerabilità potrebbero non essere notificate, che è il punto in cui entri in gioco. Amazon ha una politica dichiarata di incoraggiare il tuo input su eventuali vulnerabilità che trovi.

Assicurati di leggere il processo di valutazione di Amazon. Il processo lascia spazio ad Amazon per passare la colpa di un problema a una terza parte, o non fare nulla. Anche se Amazon è proattivo, è necessario rendersi conto che si possono ancora trovare vulnerabilità che Amazon non fa nulla per risolvere. Di conseguenza, la sicurezza di AWS sarà sempre meno perfetta, il che significa che devi anche mantenere una posizione di sicurezza forte e proattiva e non dipendere da Amazon per fare tutto. La cosa più importante che puoi fare quando lavori con un fornitore di servizi cloud come Amazon è continuare a monitorare i tuoi sistemi per qualsiasi segno di attività inaspettata.

La visione dell'esperto della sicurezza

Mentre lavori sul piano per l'utilizzo di AWS per supportare le esigenze IT della tua organizzazione, devi leggere più della vista Amazon di problemi come la sicurezza. Aspettarsi che Amazon ti racconti di ogni potenziale problema di sicurezza non è irragionevole - è solo che Amazon affronta solo quei problemi che ha le prove sono reali. Per ottenere la versione completa della sicurezza, è necessario affidarsi a esperti di terze parti, il che significa che è necessario dedicare del tempo alla ricerca di queste informazioni online.

Una recente storia serve per illustrare che Amazon non è affatto imminente su ogni problema di sicurezza. In questo caso, gli hacker white-hat sono riusciti a hackerare l'istanza EC2 di una terza parte da un'altra istanza. Dopo aver ottenuto l'accesso all'istanza di terze parti, i ricercatori sono stati in grado di rubare le chiavi di sicurezza per quell'istanza.È improbabile che Amazon vi parli di questo tipo di ricerca, quindi è necessario scoprirlo da soli.

Il problema di molte di queste storie è che la stampa specializzata tende a sensazionalizzarle, facendole apparire peggiori di quanto non siano in realtà. Devi bilanciare ciò che sai sulla configurazione della tua organizzazione, ciò che Amazon ha effettivamente segnalato sui noti problemi di sicurezza e ciò che la stampa specializzata ha pubblicato sui presunti problemi di sicurezza nel determinare i rischi per la sicurezza dell'utilizzo di AWS come soluzione cloud. Come parte del processo di pianificazione, è inoltre necessario considerare ciò che altri fornitori di cloud forniscono in termini di sicurezza. La linea di fondo è che l'utilizzo del cloud non sarà mai così sicuro come mantenere il proprio IT in-house perché più connessioni rappresentano sempre più opportunità per qualcuno di hackerare la propria configurazione.

Scoperta della realtà della sicurezza di Amazon

Le due sezioni precedenti illustrano ciò che Amazon è disposto ad ammettere quando si tratta di sicurezza e ciò che i ricercatori stanno cercando di convincerti è lo stato di sicurezza effettivo di AWS. Queste due visioni opposte sono fondamentali per il tuo processo di pianificazione, ma devi anche considerare le esperienze del mondo reale come parte del mix. I ricercatori di sicurezza del Worcester Polytechnic Institute hanno creato una condizione in base alla quale AWS poteva fallire. Tuttavia, in realtà non ha fallito in questo modo nel mondo reale. Il modo in cui AWS ha effettivamente fallito è con le sue soluzioni di backup.

La storia racconta di un'azienda che non è più operativa. Ha fallito quando qualcuno ha compromesso la sua istanza EC2. Questo non è un esperimento inventato - è successo nel mondo reale, e gli hacker coinvolti hanno fatto danni reali, quindi questo è il tipo di storia a cui dare maggiore credenza quando pianifichi il tuo utilizzo di AWS.

Un'altra storia riguarda il modo in cui dump di dati inaspettati su AWS rendono disponibili le informazioni di terze parti. In questo caso, i dati includevano informazioni personali raccolte da rapporti di infortunio della polizia, test antidroga, note dettagliate di visite mediche e numeri di previdenza sociale. Date le implicazioni di questa violazione dei dati, le organizzazioni coinvolte potrebbero essere responsabili sia delle accuse penali che civili. Quando lavori con AWS, devi moderare la necessità di risparmiare denaro ora con la necessità di spendere più denaro per difenderti da una causa.

Utilizzo delle best practice di sicurezza AWS

Amazon fornisce una serie di best practice sulla sicurezza ed è una buona idea leggere il white paper associato come parte del processo di pianificazione della sicurezza. Le informazioni che ottieni ti aiuteranno a capire come configurare la tua configurazione per massimizzare la sicurezza dal punto di vista di Amazon, ma come mostrano le sezioni precedenti, anche una grande configurazione potrebbe non essere sufficiente per proteggere i tuoi dati. Sì, dovresti assicurarti che la tua configurazione segua le best practice di Amazon, ma devi anche predisporre piani per l'inevitabile violazione dei dati. Questa affermazione può sembrare negativa, ma quando si tratta di sicurezza, è necessario assumere sempre lo scenario peggiore e preparare le strategie per gestirlo.