Abbiamo migrato tutto su AWS: esiste una checklist di sicurezza da fare in autonomia?

Tre cose urgenti da fare subito oggi: 1) Impostate i Billing Alerts; se parte un tentativo non autorizzato di cryptomining ve ne accorgete prima che l'account generi migliaia di sterline di fattura. 2) Verificate che i log di CloudTrail siano attivi in tutte le region. 3) Controllate che i backup automatici del database siano operativi.

Visto che gestite dati finanziari dei clienti, secondo la normativa sulla protezione dei dati del Regno Unito (UK GDPR) la responsabilità legale ricade direttamente sugli amministratori dell'azienda. Anche se non fate fare un penetration test completo all'esterno, vi consiglio almeno di documentare questi controlli di sicurezza con date e screenshot.

L'anno scorso, dopo una migrazione simile, controllando ci siamo accorti che lo sviluppatore esterno aveva dimenticato una chiave API con permessi da admin sul suo pc locale. Quella chiave è rimasta esposta per ben 4 mesi. Per fortuna non c'è stato alcun leak, ma da quel giorno ogni primo lunedì del mese controlliamo le chiavi IAM.

Entrate nella console IAM e scaricate il 'Credential Report'. Questo singolo file vi mostra in un'unica tabella quale utente non ha attivato l'MFA, quando è stata usata l'ultima volta una chiave di accesso e quanti giorni hanno le password. Nei primi 10 minuti intercettate subito i punti ciechi più grossi.

Se disattiviamo del tutto il public access su S3, i PDF delle fatture dei clienti ne risentiranno? Visto che scaricano i documenti tramite l'app non ero sicuro se bloccando questa impostazione gli utenti avrebbero iniziato a ricevere errori.

La regola generale per l'accesso a S3 è questa: i file non devono essere esposti direttamente su internet. Quando mostrate un file a un cliente la vostra applicazione genera in background link pre-firmati temporanei (presigned URL). In questo modo il bucket resta inaccessibile a tutto il resto del mondo ma l'app fornisce all'utente autorizzato un link di download sicuro valido per 5 minuti.

Tutti dicono di abilitare tool di sicurezza e sistemi di log, ma nessuno parla mai dei costi. Se attivate servizi di sicurezza e monitoraggio alla cieca su tutte le region, a fine mese vi trovate una bolletta per i log più alta del costo del server principale. Attivateli solo nella region attiva che state usando.

Come prima cosa aprite la pagina di Trusted Advisor. Anche la versione gratuita vi segnala subito con un flag rosso le vulnerabilità di base, le porte aperte e lo stato dell'MFA sull'account root. Già solo azzerando quei bollini rossi vi togliete di mezzo gran parte dei rischi.

Breve riassunto per i nuovi arrivati: Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Nel nostro caso è andata così. Chiunque abbia fretta su checklist sicurezza AWS si blocca nello stesso punto.

Non fidatevi di una sola misura di sicurezza; procedete per livelli. Se scrivete qui il risultato, sarà utile anche ad altri.

Scusate ma questo non vale in ogni caso. Chiunque abbia fretta su checklist sicurezza AWS si blocca nello stesso punto.

Lascio una nota potrebbe servire.

Grazie mille, mi è stato molto utile.

Ho vissuto la stessa cosa due anni fa. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Se avete domande, scrivete, rispondo per quanto possibile.

Approfondisco l'aspetto tecnico. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Hai fatto bene ad aprire questo thread. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Le decisioni affrettate diventano decisioni da correggere sei mesi dopo. Questa è la mia opinione, non la scrivo come verità assoluta.

Ti seguo.

A me è successo l'esatto contrario per questo scrivo. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

È tutto, scusate se mi sono dilungato.

Il punto più trascurato riguardo a checklist sicurezza AWS è questo: Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Questa è la mia opinione, non la scrivo come verità assoluta.