AWS'de Operatör Erişimi

AWS Anahtar Yönetimi Hizmeti (AWS KMS), Amazon EC2 (AWS Nitro System aracılığıyla), AWS Lambda, Amazon Esnek Kubernetes Hizmeti (Amazon EKS) ve AWS Wickr dâhil olmak üzere AWS temel sistemlerinin ve hizmetlerinin çoğu sıfır operatör erişimi ile tasarlanmıştır. Bu hizmetlerde, AWS operatörlerinin müşteri verilerine erişmesi için herhangi bir teknik araç yoktur. Bunun yerine sistemler ve hizmetler, müşteri verilerini yanlışlıkla hatta zorla ifşa etmekten koruyan otomasyon ve güvenli API'ler aracılığıyla yönetilir.

AWS, müşteri verilerini işleyen sistemlere erişimi olan insan sayısını en aza indirmek için her zaman bir en az ayrıcalık modeli kullanmıştır. Bu, her Amazon'un yalnızca atanan görevi veya iş sorumluluğunu yerine getirmek için gereken minimum sistem kümesine, söz konusu ayrıcalığa ihtiyaç duyulduğu zamanla sınırlı olarak erişebilmesini sağladığımız anlamına gelir. Müşteri verilerini veya meta verilerini depolayan veya işleyen sistemlere her türlü erişim günlüğe kaydedilir, anormallikler açısından izlenir ve denetlenir. AWS, bu denetimleri devre dışı bırakacak veya atlayacak tüm eylemlere karşı koruma sağlar.

Ayrıca AWS sistemlerinin ve hizmetlerinin durumuna en az ayrıcalık ilkesini uygularız. AWS, bu alanda endüstri standartlarını aşıyor. AWS Kimlik ve Hesap Yönetimi (IAM), müşterilerin IAM rollerini kullanarak ayrıntılı izinleri ifade etmelerine olanak tanır; bu, müşterilerin kimin neye erişebileceğini dikkatli bir şekilde kontrol etmelerini sağlar. Ayrıca hassas izinlerin kriptografik olarak müşteri yetkilendirmesine bağlı olmasını sağlayan İleri Erişim Oturumları (FAS) adı verilen ek ve benzersiz bir güvenlik katmanı ekliyoruz. Amazon EC2 ve Amazon Simple Storage Service (Amazon S3) gibi AWS hizmetleri de, AWS'nin bile müşterinin şifreleme anahtarlarını doğrudan müşteri yetkilendirmesi olmadan kullanamaması için müşterilerin verilerini şifrelemesine olanak tanır. Bu, müşterinin bu işleme izin verdiğini kanıtlayan FAS tarafından uygulanır. Ayrıca "temsilen" hizmet işlemleri olarak bilinen bu eylemler, günlüğe kaydedilir ve AWS CloudTrail'da müşteriler tarafından görünür hâle getirilir. Tasarım gereği AWS hizmetlerinin başka bir hizmetteki müşteri kaynaklarına üstü kapalı yetkilendirme olmadan erişmesine olanak tanıyan bir süper kullanıcı anahtarı yoktur.

AWS, müşteri verilerini içeren sistemlere izlenmeyen operatör erişimini önlemek için sistemlerimizi tüm idari işlemlerin merkezî olarak günlüğe kaydedilmesini ve izlenmesini sağlayacak şekilde tasarlamıştır. Tüm operatör eylemleri, eylemi gerçekleştiren gerçek insana kadar ayrıntılı adli bilgilerle izlenebilir. Anonimlik sağlayan paylaşılan ekip hesabı yoktur. Erişim, olası hatalar veya şüpheli faaliyetler de dâhil olmak üzere olağan dışı faaliyetler için gerçek zamanlı olarak izlenir ve AWS operatörlerinin yöneticileri ve liderlik ekiplerinin yanı sıra bağımsız AWS Güvenlik kuruluşuna bu tür tüm faaliyetlerin düzenli özetleri sağlanır. Bu izleme, yerel olayları ana sunucu dışından hızlı bir şekilde AWS güvenlik ekibi tarafından işletilen merkezî bir günlük toplama sistemine ileten ana sunucu üzerindeki günlük kaydı aracıları ve herhangi bir nedenle ana sunucu üzerindeki aracının çalışmamaya başlaması durumunda gerçek zamanlı uyarılar dâhil olmak üzere çok düzeylidir. Bu, ağ seviyesi izleme, kale hizmeti izleme ve diğer kontroller ile desteklenir.

AWS personeli, operatörlerin güncel ve güvenli iş istasyonlarına, FIPS onaylı donanım güvenliği belirteçlerine sahip olmasını ve doğru şekilde kimliklerinin doğrulanmasını sağlayan güvenli arayüzler aracılığıyla tüm işlemleri gerçekleştirir. Bu arayüzler, AWS operatörlerine geçici kısa ömürlü kimlik bilgileri sağlar ve ayrıca geçersiz kılınamayan veya atlanamayan mekanizmalar kullanarak tüm faaliyetleri izler. Bu güvenli operatör arayüzleri, yalnızca müşteri verilerini ifşa etmeyen sınırlı işlemlere izin verir ve hassas işlemler için birden fazla kişiden onay gerektirir.

Bir hizmetle ilgili bir sorunu gidermek veya düzeltmek gibi müşteri verilerini depolayabilecek veya işleyebilecek dâhilî kaynaklara erişmek gerekirse operatör erişimini kısıtlamak, değerlendirmek ve izlemek için ek bir kontrol katmanı ekleriz.

Müşterilere destek taleplerinde yardımcı olan AWS destek personelinin müşteri verilerine erişimi yoktur. Destek amacıyla kullanılan tüm AWS IAM izinleri tam olarak belgelenir ve her AWS müşterisi tarafından devre dışı bırakılabilen özel rollerden erişilir. Bu özel rollerin kullanımı AWS CloudTrail'da da günlüğe kaydedilir.

AWS, ağı gizlice izleme, hırsızlık veya diğer fiziksel saldırıların riskini azaltmak için güvenli veri merkezleri işletmektedir. Erişim isteklerini incelemek için en az ayrıcalık ilkesini kullanıyoruz. Bu istekler, bireyin veri merkezinin hangi katmanına erişmesi gerektiğini belirtmelidir ve zamana bağlıdır. NIST 800-88'de ayrıntılı olarak açıklanan teknikler kullanılarak fiziksel olarak yok edilmeden veya kriptografik olarak silinmeden hiçbir elektronik depolama ortamının AWS veri merkezlerinden çıkmasına izin verilmez. AWS hizmetleri ve sistemleri ağ, bellek ve depolama için her zaman açık şifrelemeyi destekler. Çoğu durumda, verilere tek erişimin müşteriler için bu verileri işlemekten sorumlu sistemler tarafından yapılmasını sağlayan iki veya daha fazla her zaman açık şifreleme katmanı vardır.

AWS, hiçbir güvenlik olayının gözden kaçmamasını ve hiçbir bireyin veya grubun önemli güvenlik denetimlerini bozmamasını sağlamak için kurumsal ve teknik kontroller ve dengelerden yararlanır. AWS erişim denetimi sistemleri ve erişim izleme sistemleri, özellikle bağımsızdır ve ayrı ekipler tarafından yönetilir.

AWS'yi değişiklik denetimleri, değiştirilemez günlük özellikleri, görevlerin ayrılması, çok taraflı onaylar, bağlı yetkilendirme mekanizmaları ve uygulamalı operasyonel araçlar dâhil olmak üzere derinlemesine savunma güvenlik önlemleriyle tasarladık. Bu güvenlik önlemleri standart güvenlik uygulamalarının ötesine geçerek AWS operatörleri tarafından gerçekleştirilen eylemlerin güvenli, şeffaf, günlüğe kaydedilmiş ve gözden geçirilmiş olmasını sağlar.

Kaynaklara erişim tahsis etmek için izin grupları, izin grubu üyeliğini yönetmek için bir izin aracı ve yetkili operatörlerin hizmet kaynaklarına doğrudan erişim olmadan sistem bakımı ve sorun giderme işlemlerini gerçekleştirmesine olanak tanıyan güvenli araçlar uyguladık. Ayrıca çalışanlar rol değiştirdikçe veya şirketten ayrıldıkça üyeliği otomatik olarak güncelliyoruz.