Security Essentials

Sicherheit und Compliance stellen eine geteilte Verantwortlichkeit zwischen AWS und dem Kunden dar. Durch dieses gemeinsam genutzte Modell können Kunden den betrieblichen Aufwand reduzieren, da AWS die Verantwortung für den Betrieb, die Verwaltung und die Kontrolle der Komponenten „der Cloud“ übernimmt. So können sich die Kunden auf die Entwicklung ihrer Anwendungen und die Implementierung ihrer Dienste konzentrieren, während sie die Verantwortung für die Sicherung dieser Dienste „in der Cloud“ übernehmen. Lesen Sie mehr über das Modell der geteilten Verantwortung.

Wenn Sie ein AWS-Konto erstellen, beginnen Sie mit dem sogenannten Root-Benutzer. Dies ist der erste AWS-Benutzer, der innerhalb Ihres AWS-Kontos existiert. AWS empfiehlt, dieses Konto nicht für den täglichen Betrieb zu verwenden, da es vollen Zugriff und volle Kontrolle über das Konto hat und die empfohlenen bewährten Methoden zum Schutz des Root-Benutzers befolgen sollte. Dazu gehört, dass Sie Ihre Root-Benutzer-Zugangsschlüssel sperren, ein sicheres Passwort verwenden, die AWS-Multifaktor-Authentifizierung aktivieren und einen IAM-Benutzer für den Zugriff auf Ihr Konto erstellen. Dieses Konto kann mit Administratorrechten ausgestattet werden und sollte in Zukunft für alle administrativen Aufgaben verwendet werden.

Als nächstes sollten Sie Ihrem Konto alternative Sicherheitskontakte zuweisen. Der alternative Sicherheitskontakt erhält sicherheitsrelevante Benachrichtigungen, einschließlich Benachrichtigungen des AWS Trust & Safety Teams. Wie wichtig es ist, diese Kontaktinformationen bereits bei der Einrichtung Ihres Kontos festzulegen, erfahren Sie im Blogbeitrag Aktualisieren Sie den alternativen Sicherheitskontakt in Ihren AWS-Konten für rechtzeitige Sicherheitsbenachrichtigungen.

Sobald Sie Ihre Sicherheitskontakte bestätigt haben, sollten Sie die AWS-Regionen in Betracht ziehen, in denen Ihre Workloads ausgeführt werden, und die Regionen, in denen sie nicht ausgeführt werden sollten. Anschließend können Sie die ungenutzten Regionen sperren, um sicherzustellen, dass keine Workloads von diesen Regionen aus ausgeführt werden können. Das hilft nicht nur bei der Kostenoptimierung, sondern auch bei der Sicherheit. Wie das? Indem Sie die Regionen, in denen Sie keine Workloads erwarten, sperren, können Sie Ihre Überwachungsbemühungen auf die Regionen konzentrieren, die Sie aktiv nutzen.

Zu diesem Zeitpunkt haben Sie den Root-Benutzer gesichert, einen oder mehrere IAM-Benutzer erstellt, Sicherheitskontakte zugewiesen und die Regionen definiert, in denen Workloads ausgeführt werden können. Lassen Sie uns als Nächstes überlegen, wie Benutzer mit AWS-Ressourcen interagieren werden. Es gibt zwei primäre Interaktionsmethoden: die AWS-CLI und die AWS-Managementkonsole. Es wird empfohlen, Single Sign-On für die AWS-CLI und die Konsole einzurichten. Im Artikel Konfigurieren der AWS-Befehlszeilenschnittstelle für die Verwendung von AWS IAM Identity Center (Nachfolger von AWS Single Sign-On) erfahren Sie, wie Sie den Zugriff mit AWS IAM Identity Centerzentral verwalten können.

Der nächste Schritt zur Sicherung Ihres Kontos ist die Einrichtung von AWS-IAM-Benutzergruppen zur Zugriffskontrolle. Anstatt den Zugriff einzelner Benutzer zu kontrollieren, indem Sie Richtlinien direkt für den Benutzer festlegen, ist es am besten, eine Gruppe zu erstellen, ihr die erforderlichen Berechtigungen zuzuweisen und dann der Gruppe Benutzer zuzuordnen. Die Benutzer erben die Berechtigungen dieser Gruppe. Dies bietet eine skalierbarere Möglichkeit, vielen Benutzern die Zugriffskontrolle zu ermöglichen. Es ist wichtig, IAM- und IAM-Gruppen zu verstehen, da sie sich über mehrere Dienste erstrecken. IAM ist ein Service, der bis zu einem gewissen Grad mit allen AWS-Services interagiert. Nehmen Sie sich also Zeit, um sich mit IAM vertraut zu machen.

Wenn Sie diese Praktiken von Anfang an befolgen, können Sie einen sicheren Zugriff auf Ihre AWS-Ressourcen gewährleisten. Als Nächstes besprechen wir, wie Sie die Infrastruktur, die Sie auf AWS aufbauen, sichern können.

Die Infrastruktur, die Sie aufbauen, wird oft übersehen, da sie Teil der zugrundeliegenden Architektur ist und nicht für Kunden bestimmt ist. Wenn jedoch die Infrastruktur ausfällt, fallen die Dienste aus, die Sie Ihren Kunden anbieten. Aus diesem Grund ist es unerlässlich, dass die Infrastruktur vom ersten Tag an gesichert ist.

Beim Aufbau Ihrer Cloud-Infrastruktur erstellen Sie zunächst eine Amazon Virtual Private Cloud (Amazon VPC). Dies ist ein virtuelles Netzwerk, das Sie definieren (ein Standardnetzwerk wird in jeder Region erstellt, wenn Sie Ihr Konto einrichten) und das es Ihnen ermöglicht, Ressourcen zu starten. Ein VPC ähnelt einem herkömmlichen Netzwerk, da ihm ein CIDR-IP-Adressbereich zugewiesen ist und es durch dieErstellung von Subnetzen unterteilt wird. Ihre Subnetze können verwendet werden, um verschiedene Gruppen von Ressourcen zu isolieren. Subnetze können entweder öffentlich oder privat sein. Öffentliche Subnetze haben eine Route zu einem Internet-Gateway, haben über dieses Gateway Zugriff auf das Internet und können vom Internet aus erreicht werden, sofern die entsprechenden Zugriffskontrollen dies zulassen. Private Subnetze haben ebenfalls eine Routingtabelle, aber keine Route zu einem Internet-Gateway, sodass sie standardmäßig nicht auf das Internet zugreifen können und auch nicht über das Internet erreichbar sind. Damit Ressourcen in einem privaten Subnetz auf das Internet zugreifen können, ist ein NAT-Gateway erforderlich. Auf Subnetzebene erlaubt oder verweigert eine Zugriffssteuerungsliste (ACL) bestimmten eingehenden oder ausgehenden Datenverkehr. Sie können die Standard-Netzwerk-ACL für Ihre VPC verwenden oder eine benutzerdefinierte Netzwerk-ACL für Ihre VPC erstellen. Netzwerk-ACLs sind nummerierte Listen, die in der Reihenfolge von oben nach unten verarbeitet werden und zustandslos sind. Das bedeutet, dass Sie eine eingehende und ausgehende Netzwerk-ACL-Regel benötigen, um bidirektionalen Datenverkehr zuzulassen.

Wenn Sie EC2-Ressourcen in Ihrer VPC bereitstellen, ordnen Sie ihnen eine Sicherheitsgruppe zu. Eine Sicherheitsgruppe kontrolliert den eingehenden und ausgehenden Datenverkehr, der die EC2-Ressourcen erreichen kann. Sicherheitsgruppen ähneln einer Firewall, aber anstatt nur eine Liste oder einen Bereich von IP-Adressen zu verwenden, können sie auf eine sogenannte Ressourcenreferenz verweisen. Eine Ressourcenreferenz ist eine benannte Gruppe, die eine aktualisierte Liste von IP-Adressen verwaltet, die jeder Ressource in der Gruppe zugewiesen sind. Wenn Sie beispielsweise eine Autoscaling-Gruppe erstellen, um Amazon EC2-Instances hochzufahren, wird jeder Instance beim Start eine neue IP zugewiesen. Indem Sie diesen Instances eine Sicherheitsgruppe hinzufügen, können Sie über die Sicherheitsgruppen-ID der EC2-Instances Zugriff auf die Sicherheitsgruppe Ihres Datenbankservers gewähren, und jede neu gestartete EC2-Instance hat Zugriff auf die Datenbank, ohne ihre IP-Adresse zur Liste der zulässigen Instanzen hinzufügen zu müssen.

Sicherheitsgruppenregeln ähneln Netzwerk-ACLs, da sie bei der Erstellung auf Port, Protokoll und Adressen abgestimmt werden, aber sie sind zustandsbehaftet – ähnlich wie eine zustandsbehaftete Firewall. Wenn Sie einen Eintrag erstellen, um eine bestimmte Art von Datenverkehr zuzulassen, brauchen Sie keine Regel zu erstellen, die dem Rückverkehr entspricht; da der Rückverkehr zustandsabhängig ist, wird er zugelassen. Dieser Vergleich ist nützlich, um besser zu verstehen, wie Sicherheitsgruppen und ACLs interagieren

Um eine zusätzliche Sicherheitsebene für die Infrastruktur hinzuzufügen, können Sie die AWS Network Firewall bereitstellen. Die Network Firewall ist ein verwalteter Service, der Schutz für Ihre Amazon VPC bereitstellt. Sie bietet einen feiner abgestuften Schutz als Sicherheitsgruppen, da sie den Kontext von Verkehrsflüssen, wie die Verfolgung von Verbindungen und die Protokollidentifizierung, einbeziehen kann, um Richtlinien durchzusetzen, z. B. um zu verhindern, dass Ihre VPCs über ein nicht autorisiertes Protokoll auf Domänen zugreifen. Dies erfolgt durch die Konfiguration benutzerdefinierter Suricata-Regeln. Beispielsweise können Sie die Network Firewall so konfigurieren, dass sie vor Malware-Angriffen schützt. Wenn Sie noch einen Schritt weiter gehen, können Sie einen weiteren verwalteten Service, AWS Shield Advanced, zum Schutz vor DDoS-Bedrohungen bereitstellen.

Kunden speichern viele Daten in der AWS-Cloud. Diese Daten enthalten Informationen, die für den Betrieb einer Organisation von entscheidender Bedeutung sind. Dazu gehören Kundendaten, geistiges Eigentum, Bestellungen, die direkt mit dem Umsatz verknüpft sind, und mehr. In diesem Abschnitt erläutern wir die wichtigsten Informationen zur Konfiguration von Daten, die auf AWS gespeichert sind, sowie von Daten, die über das Netzwerk zu und von AWS übertragen werden.

Bei AWS werden die Daten in Amazon S3 gespeichert, das über mehrere Kontrollen zum Schutz der Daten verfügt. Der Artikel Top 10 der besten Sicherheitsmethoden für die Sicherung von Daten in Amazon S3 behandelt die grundlegendsten Techniken. Dazu gehören das Sperren öffentlicher S3-Buckets auf Unternehmensebene, die Verwendung von Bucket-Richtlinien, um sicherzustellen, dass alle gewährten Zugriffe beschränkt und spezifisch sind, sowie die Verschlüsselung und der Schutz von Daten.

Für die Verschlüsselung können Sie mit AWS Key Management Service (AWS KMS) Schlüssel erstellen und kontrollieren, die zum Verschlüsseln oder digitalen Signieren Ihrer Daten verwendet werden. Wenn Sie Ihre Daten auf AWS verschlüsseln möchten, haben Sie einige Möglichkeiten. Die erste Möglichkeit besteht darin, eine serverseitige Verschlüsselung mit von Amazon S3 verwalteten Verschlüsselungsschlüsseln (SSE-S3) zu verwenden. Bei dieser Methode erfolgt die Verschlüsselung, nachdem die Daten mithilfe von Schlüsseln, die von AWS verwaltet werden, an AWS gesendet wurden.

Die zweite Option besteht darin, die Daten zu verschlüsseln, sobald sie sich in AWS befinden. Anstatt jedoch Schlüssel zu verwenden, die von AWS erstellt und verwaltet werden, können Sie eine serverseitige Verschlüsselung mit Customer Master Keys (CMKs – Kunden-Master-Schlüssel) durchführen, die in AWS KMS (SSE-KMS) gespeichert sind.

Die dritte Option zum Speichern verschlüsselter Daten auf AWS ist die Verwendung der clientseitigen Verschlüsselung. Bei diesem Ansatz werden die Daten verschlüsselt, bevor sie an AWS übertragen werden.

Ein Beispiel dafür, wie Kunden sowohl von der clientseitigen Verschlüsselung als auch von der serverseitigen Verschlüsselung profitieren, ist in der folgenden Abbildung zu sehen.

VPNs können mehrere Technologien umfassen. Die Idee hinter einem VPN ist, dass Ihre Daten bei der Übertragung ihre Integrität bewahren und sicher zwischen zwei Parteien ausgetauscht werden können. AWS bietet mehrere Technologien, mit denen Sie Ihre Daten während der Übertragung schützen können. Eine davon ist AWS PrivateLink, das verschlüsselte, private Konnektivität zwischen VPCs, AWS-Services und Ihren On-Premises-Netzwerken bereitstellt. Dies geschieht, ohne dass Ihr Datenverkehr dem öffentlichen Internet ausgesetzt wird. Auch dies könnte als ein virtuelles privates Netz betrachtet werden.

In den meisten Fällen dreht sich die Diskussion um VPN jedoch um die Verwendung von Datenverschlüsselung. Abhängig von den Umständen müssen Sie möglicherweise eine Verschlüsselung zwischen einem Client und Ihren AWS-Cloud-Ressourcen bereitstellen. In dieser Situation wäre AWS Client VPN erforderlich. Andererseits übertragen Sie möglicherweise Daten zwischen Ihrem Rechenzentrum oder Ihrer Niederlassung und Ihren AWS-Ressourcen. Sie können dies mithilfe von IPSec-Tunneln zwischen Ihren On-Premises-Ressourcen und Ihren Amazon VPCs oder AWS Transit Gateway erreichen. Diese sichere Konnektivität wird als Site-to-Site-VPN bezeichnet.

Und schließlich bietet die Verwaltung Ihrer Cloud-Ressourcen über die AWS-Managementkonsole ebenfalls eine verschlüsselte Datenübertragung. Obwohl Sie die Verbindung zur Konsole normalerweise nicht als VPN bezeichnen würden, verwendet Ihre Sitzung TLS-Verschlüsselung (Transport Layer Security). Daher werden Ihre Konfigurationen vertraulich behandelt, während Sie Ihre sichere Architektur erstellen. TLS wird auch mit der AWS-API verwendet.

AWS bietet verschiedene verwaltete Services zur Unterstützung bei der Überwachung Ihrer Umgebung sowie Self-Service-Optionen. Sie können beispielsweise VPC-Flow-Protokolle verwenden, um Netzwerkverkehrsflüsse zu protokollieren und anzuzeigen, oder Sie können Amazon CloudWatch verwenden, um AWS-WAF-Protokolle zu analysieren oder sogar, um Alarme für EC2-Instances zu erstellen. In diesem Workshop erfahren Sie mehr über Amazon CloudWatch.

Darüber hinaus überwacht und protokolliert AWS CloudTrail die Kontobewegungen in Ihrer AWS-Infrastruktur und gibt Ihnen die Kontrolle über Speicherung, Analyse und Abhilfemaßnahmen. Dies ist unerlässlich, um einen administrativen Prüfpfad zu erstellen, Sicherheitsvorfälle zu identifizieren und betriebliche Probleme zu beheben.

Schließlich kann Amazon GuardDuty für die Erkennung von Bedrohungen verwendet werden und sogar noch einen Schritt weiter gehen, indem die veröffentlichten Ergebnisse dazu führen, dass in Ihrer AWS-Umgebung automatische Abhilfemaßnahmen eingeleitet werden.

Wenn Sie sich mit jedem dieser operativen Bereiche befassen, sind Sie auf dem besten Weg, wesentliche Sicherheitsfunktionen für Ihre Cloud-Umgebung zu etablieren.