המדריך המקיף לשירותי האבטחה ב-AWS בעברית: ממשיכים עם נושא ה-Protect

במאמר הקודם התחלנו ללמוד על האספקטים השונים הקשורים ל-AWS Security, והיום נלמד על הבקרות המונעות שיש ל-AWS להציע עבור שלב ה-Protect.

‍

‍
Protect

‍
ע"פ NIST, שלב ה-Protect הוא שלב שנועד לפתח ולהטמיע אמצעים שיבטיחו את פעילותן התקינה של שירותים קריטיים. התוצרים משלב זה כוללים לדוגמה Access Control, Data Security, Processes & Procedures, Protective Technologies ועוד.

‍
להלן השירותים המוצעים בקטגוריה הזו:

‍
AWS Transit Gateway

‍
ה-Transit Gateway הוא רכיב תקשורת שמחבר מס' רב של סביבות עבודה, VPCs או רשתות פנים-ארגוניות (On-prem) אל AWS ובכך מאפשר גדילה או צמצום בכמות הרשתות באופן קל, נוח ופשוט לניהול.

‍
AWS VPC PrivateLink

‍
AWS VPC PrivateLink מאפשר לחבר מס' VPCs או לספק גישה פנימית מתוך VPC אל שירותי AWS ללא צורך בחיבור ה-VPC אל האינטרנט. היתרונות של ה-PrivateLink מתבטאים בקלות היישום ושמירת תעבורת המידע בסביבה פנימית ומוגנת, ללא יציאה אל רשת האינטרנט.

‍
Amazon VPC (Security)

‍
ה-Amazon VPC הינו רכיב בסיסי ביותר בסביבת AWS אשר נועד לספק תשתית רשת וירטואלית. AWS מספקת מס' הגנות מובנות בשירות ה-VPC, שמיושמות ע"י Filtering ו-Monitoring על תעבורת הרשת.

‍
ב-VPC קיימים 2 סוגים של Filtering:

‍
Security Groups

‍
פועל כ-Stateful Firewall עבור שרתי EC2 שמשויכים אליו ומגן מפני תעבורה שיוצאת או נכנסת ברמת השרת.

‍
Network Access Control Lists (NACL)

‍
פועל כ-Stateless Firewall עבור תתי-רשתות (Subnets) שמשויכים ל-NACL ומגן מפני תעבורה שיוצאת או נכנסת ברמת ה-Subnet.

‍
את הניטור (Monitoring) מיישמים אמצעות VPC Flow Logs, שמתעד מידע על תעבורת IP שיוצאת או נכנסת לכרטיסי רשת שנמצאים ב-VPC.

‍
AWS Direct Connect

‍
שירות ה-AWS Direct Connect מספק חיבור ייעודי ופרטי מהסביבה הארגונית אל AWS. דרכו ניתן לאפשר גישה לשרתים ב-VPC כאילו מדובר בעוד רשת מרוחקת של הארגון. היתרונות שלו מתבטאים ביציבות וביצועים טובים יותר של התקשורת, אבל מכיוון שהקישור הזה נחשב כ"פרטי" – התעבורה דרכו גם נחשבת כבטוחה יותר.

‍
AWS IoT Device Defender

‍
שירות ה-AWS IoT Device Defender הוא שירות אבטחה מנוהל לרכיבי IoT. השירות מנטר באופן קבוע את קונפיגרציות ה-IoT ומוודא שהן לא חורגות מפרקטיקות אבטחה מיטביות. השירות מתריע כאשר נמצא פער בקונפיגורציה מסוימת אל מול פרקטיקות אבטחה מיטביות, דבר שעשוי ליצור סיכוני אבטחה.

‍
Resource Access Manager

‍
באמצעות ה-Resource Access Manager ניתן לשתף שירותים בין חשבונות AWS שב-Organization שלכם. נכון לרגע כתיבת שורות אלו, ניתן לשתף רק את השירותים הבאים:

‍
• Transit Gateways
• Subnets
• License Manager Configurations
• Route 53 Resolver Rules

‍
Amazon Cloud Directory

‍
שירות ה-Amazon Cloud Directory הוא שירות שמספק Directory מנוהל בענן, אשר חוסך זמן והוצאות יקרות על ניהול ותחזוקת תשתיות. השירות מאפשר בניה של Directory היררכי, גמיש ורב-מימדי, אשר ניתן למלא באובייקטים דרך קוד API. חשוב לא לבלבל בין השירות הזה לבין ה-AWS Directory Service, שהוא שירות Microsoft Active Directory מנוהל ע"י AWS.

‍
AWS Directory Service

‍
שירות ה- AWS Directory Serviceמספק Microsoft Active Directory מנוהל ע"י AWS, שאפשר לצרף אליו תחנות מסביבות העבודה ולנהל באמצעותו משתמשים, קבוצות, הרשאות וכו' באותו אופן שמנהלים Active Directory ב-On-prem. השירות מבוסס על Microsoft AD אמיתי, ולכן ניתן לנהל אותו באותם כלי הניהול הסטנדרטים של AD ולנצל מאפיינים כמו GPOs ו-SSO. אם רוצים, ניתן לחבר את הAWS Directory Service עם ה-Active Directory הפנים-ארגוני.

‍
AWS Shield

‍
ה-AWS Shield הוא שירות מנוהל של הגנה מפני DDoS (מתקפת מניעת שירות מבוזרת). כל לקוחות AWS נהנים בחינם ממודל השירות הסטנדרטי, אשר מספק הגנה בסיסית מפני רוב סוגי ההתקפות בשכבות 3 ו-4 (של מודל ה-OSI). לקוחות שמנויים על Shield Advanced מקבלים הגנה מפני מתקפות מתוחכמות יותר, ובעיקר הגנה ממתקפות נפח על שירותים כמו ELB, CloudFront, Route53 וכד'. מנויים עם תמיכה מסוגBusiness או Enterprise מקבלים גם גישה 24/7 לצוות התגובה (DRT) של AWS, אשר יכולים לעזור להתמודד יותר טוב עם אירוע ולשוב לפעילות במהירות רבה יותר.

‍
AWS WAF

‍
שירות ה-AWS WAF מספק הגנה לאפליקציות ווב מפני מתקפות אפליקטיביות נפוצות (כמו XSS או SQL-Injection), הגנה מפני DDoS אפליקטיבי (בשכבה 7), הגנה מפני גניבה של תוכן נגיש (Content Scrapping) ומאפשר חסימה של גישה מאזורים גאוגרפיים בעולם (Geo-IP). את השירות ניתן לנהל דרך Console או אוטומטית דרך API.

‍
AWS Identity and Access Management (IAM)

‍
אחד הנושאים המרכזיים, החשובים והמהנים ביותר לדעתי ב-AWS הוא ללא ספק שירות ה-IAM.

‍
דרך ה-IAM מנהלים את המשתמשים, הקבוצות, התפקידים (Roles), המדיניות סיסמאות בחשבון והרשאות הגישה לשירותים ומשאבים ב-AWS.

‍
השירות מספק את ה-Authentication וה-Authorization לשירותי AWS:

‍
Authentication – הזדהות. זהו החלק שמאמת את זהות מבקש הגישה. הגישה יכולה להתבצע דרך ה-Console ע"י שם משתמש וסיסמה או דרך API/CLI ע"י Access Key ו-Secret Key. מומלץ ביותר ליישם בשלב זה הזדהות מרובת פקטורים (MFA).

‍
Authorization – הרשאות. זהו החלק שמגדיר את השירותים והפעולות שמותר או אסור לישות כלשהי לבצע ובאיזה תנאי. רשימת ההרשאות נקראת Policy והיא ממומשת באמצעות JSON. את ה-Policies מצמידים לישות כמו משתמש, קבוצה או תפקיד (Role) ובכל פניה של הישות למשאב, נבדקים כל ה-Policies שלו כדי לאשר או לחסום את הפעולה המבוקשת.

‍
ה-IAM תומך ב-Federation, MFA, Temporary Credentials, Shared Access ועוד.

‍

‍
AWS Firewall Manager

‍
שירות ה-AWS Firewall Manager מיועד לספק מקום אחד מרכזי ונוח לניהול חוקי AWS WAF ו-AWS Shield שמיושמים בכל החשבונות שב-Organization. באמצעות השירות מיישמים חוקים רוחביים על כל החשבונות וכאשר נדרשים לחוקים פרטניים, מגדירים אותם ברמת ה-WAF הספציפי.

‍
ה-Firewall Manager יודע ליישם ולוודא את קיומם של חוקים מנדטוריים בכל החשבונות או המשאבים (כמו ה-ALB או ה-CloudFront), כולל חדשים שנוספו.

‍
AWS Secrets Manager

‍
שירות ה-Secrets Manager שומר באופן מוצפן, בטוח, מבוקר-גישה ומתועד כל מיני "סודות" שמשמשים עבור סביבות העבודה. בין אם זה Database Credentials, API Keys, SSH Keys או כל Credentials אחר, ה-AWS Secrets Manager הוא מקום בטוח לאחסן אותם במקום בקובץ קונפיגורציה או קוד-מקור. השירות יודע לבצע החלפה תקופתית ואוטומטית של "סודות" בשירותים נתמכים או תומך בהחלפה שלהם ע"י Lambda בשירותים האחרים. דבר זה מחזק מאוד את האבטחה, ועוזר לארגון להתאים לרגולציות במידה והוא נדרש לכך.

‍
AWS Certificate Manager

‍
שירות ה-AWS Certificate Manager (או בקיצור ACM) מספק תעודות דיגיטליות פרטיות ו/או ציבוריות עבור תקשורת מוצפנת ב-SSL/TLS. ה-ACM מאפשר יצירה, ניהול והפצה קלה של תעודות דיגיטליות לצד השרת (EC2, ELB, API Gateway ועוד) או לקוח, להחלפה של תעודות Self-Signed או להפצה של תעודות אל רכיבי IoT. ה-ACM דואג לייצר ולשמור באופן מאובטח את צמד המפתחות פרטי/ציבורי ומתעד את הגישה אליהם. עבור רשימת השירותים הבאים ה-ACM גם מאפשר חידוש אוטומטי של התעודות לפני מועד פקיעתן.

‍
AWS Key Management Service (KMS)

‍
ה-KMS הינו שירות מנוהל ו-Multitenant, שמספק מקום מרכזי לניהול מפתחות הצפנה, בקרת הגישה אליהם ותיעוד. שירות ה-KMS מתבסס על רכיב חומרה HSM, אשר נועד לספק הגנה גבוהה עבור מפתחות הצפנה בכל שלב של מחזור החיים שלהם. השירות מספק פתרון קל ונוח לאפליקציות ושירותים שצריכים הצפנה או גישה למפתחות דרך API. ה-KMS יכול לדאוג בעצמו ליצירה ורוטציה אוטומטית של מפתחות או שהדבר יעשה לבד על ידי המשתמש.

‍
AWS CloudHSM

‍
טוב ככל שה-KMS יהיה, הוא עדיין שירות מנוהל ו-Multitenant. אם מסיבה כלשהי משתמש רוצה או נדרש לכך שמחזור החיים של המפתחות ינוהל בלעדית על ידו בחומרת HSM ייעודית, אז AWS יודעת לספק גם את זה בשירות שנקרא CloudHSM. חשוב לדעת ששירות ה-CloudHSM מורכב ויקר משמעותית, לעומת ה-KMS ונדרשת הבנה כדי לעבוד איתו.

‍
Amazon Cognito

‍
ה-Cognito הוא שירות שנועד לספק למפתחים אפשרויות קלה, מהירה ומאובטחת לרישום, כניסה ובקרת גישה עבור משתמשים לאפליקציות מוביל או ווב. השירות מספק ספריה (Directory) בסיסית לרישום משתמשים ותומך ב-Federation עם ספקי זהויות חברתיות (כמו Facebook, Google ו-Amazon) או עם Active Directory ארגוני. ה-Cognito תומך בסטנדרים כמו Oauth2.0, SAML2.0 ו-OpenID Connect עבור הזדהות או בקרת גישה, והחיבור בין השירות עם האפליקציה מתקבל בקלות ע"י הוספה של מס' שורות קוד בודדות.

‍
AWS Single Sign-On

‍
שירות ה-Single Sign-On של AWS הוא שירות הזדהות יחידה (SSO) בענן, שמספק למשתמשים גישה אל חשבונות AWS ו/או אפליקציות ארגוניות ללא צורך בהזדהות נוספת. השירות מספק ממשק הזדהות עם אופציה לזיהוי מרובה פקטורים (MFA) ופורטל גישה לאפליקציות ו/או חשבונות AWS אחרים. את האפליקציות בפורטל ניתן לבחור מתוך רשימה קיימת או להוסיף חדשות, כל עוד קיימת תמיכה ב-SMAL2.0. השירות תומך באינטגרציה עם Active Directory או עם השירות המנוהל AWS Directory Service.

‍
בחלק הבא נציג מספר תחומים שטרם עברנו עליהם – ונגיע לסיכום המדריך. נתראה!

‍