Bảo mật và tuân thủ #1
Phân biệt security group và network ACL theo phạm vi áp dụng và đặc tính
Security group = theo từng instance, stateful, chỉ quy tắc cho phép. Theo từng subnet, stateless, và cả cho phép lẫn từ chối là NACL. Phân biệt chúng theo tầng và đặc điểm.
AWS CloudTrail với vai trò nhật ký kiểm toán thao tác API
'Ai, khi nào, thao tác API nào' chỉ đến AWS CloudTrail (nhật ký kiểm toán các thao tác). Giám sát hiệu năng/metric là CloudWatch, và theo dõi cấu hình tài nguyên là Config — hãy tách bạch các vai trò.
AWS Config ghi lại cấu hình tài nguyên và đánh giá mức tuân thủ
'Ghi lại cấu hình tài nguyên' và 'đánh giá tuân thủ với các quy tắc' chỉ đến AWS Config. 'Ghi lại các thao tác API' là CloudTrail. Config = cấu hình (trạng thái) / CloudTrail = thao tác (hành động) là một tương phản hay gặp.
Nguyên tắc dùng người dùng root: MFA và quyền tối thiểu
Đối với người dùng gốc, các quy tắc là không dùng hằng ngày / bật MFA / lưu thông tin xác thực an toàn / dùng IAM quyền tối thiểu cho công việc hằng ngày. Chia sẻ, làm việc hằng ngày, và tắt MFA đều là các anti-pattern nguy hiểm.
・MFA (xác thực đa yếu tố): ngoài mật khẩu, còn yêu cầu một yếu tố khác như mã dùng một lần để tăng cường xác minh danh tính.
・SSO (đăng nhập một lần): một lần xác thực giúp bạn đăng nhập vào nhiều tài khoản và ứng dụng (trên AWS, được cung cấp bởi IAM Identity Center).
Phân vai giữa WAF, Shield, GuardDuty, Macie và KMS
Ghép vai trò: WAF = chặn tấn công web / Shield = giảm thiểu DDoS / GuardDuty = phát hiện mối đe dọa / Macie = phát hiện dữ liệu nhạy cảm / KMS = quản lý khóa. Đổi chỗ tên dịch vụ và vai trò là cái bẫy kinh điển.