Перетащили всё в AWS — есть ли чек-лист по безопасности, который мы можем применить сами?

Три срочных пункта, которые нужно сделать прямо сегодня: 1) Настройте оповещения о счетах (Billing Alerts); если произойдёт несанкционированная попытка майнинга крипты, вы узнаете об этом до того, как аккаунт выставит счёт на тысячи фунтов. 2) Убедитесь, что логи CloudTrail включены во всех регионах. 3) Подтвердите, что автоматические бэкапы базы данных активны.

Поскольку вы храните финансовые данные клиентов в рамках законодательства Великобритании о защите данных (UK GDPR), юридическая ответственность лежит напрямую на руководителях компании. Даже если вы не заказываете полномасштабный пентест на стороне, рекомендую хотя бы документировать применённые меры безопасности с датой и скриншотами.

Когда мы проверяли после похожего переезда в прошлом году, обнаружили, что внешний разработчик забыл API-ключ с правами администратора на своём локальном компьютере. Целых 4 месяца этот ключ лежал открытым. По счастливой случайности утечки не произошло, но с того дня мы каждый первый понедельник месяца проверяем ключи IAM.

Зайдите в консоль IAM и скачайте 'Credential Report'. Этот один файл в одной таблице показывает, кто не включил MFA, когда последний раз использовался каждый ключ доступа и сколько дней паролям. За первые 10 минут вы отловите там самые большие слепые зоны.

Если мы полностью отключим настройку public access на стороне S3, это повлияет на PDF-счета клиентов? ну мы даём скачивать документы через приложение и я не уверен не будут ли пользователи получать ошибку если закрыть эту настройку.

Общее правило для доступа к S3 такое: файлы не должны быть напрямую открыты в интернет. Когда показываете файл клиенту ваше приложение в фоне генерирует временные подписанные ссылки (presigned URL). Благодаря этому ваше хранилище остаётся закрытым для всего мира, но приложение выдаёт авторизованному пользователю безопасную ссылку на скачивание на 5 минут.

Все рассказывают, как включить инструменты безопасности и системы логирования, но никто не говорит о стоимости. Если включите сервисы безопасности и мониторинга вслепую во всех регионах, в конце месяца заплатите за логи больше, чем за основные серверы. Включайте только в том активном регионе, который используете.

Первым делом зайдите на страницу Trusted Advisor. Даже бесплатная версия поднимает красные флаги по базовым уязвимостям, открытым портам и статусу MFA корневого аккаунта. Даже обнуление этих красных флагов избавит вас от большей части риска.

Краткое резюме для новичков: Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Интересно, есть ли те, кто делает иначе.

У нас было так. Все, кто торопится с чек-лист по безопасности AWS спотыкаются на одном и том же.

Не полагайтесь на одну меру защиты; действуйте слоями. Если напишете результат здесь это поможет и другим.

Извините, но это верно не во всех случаях. Все кто торопится с чек-лист по безопасности AWS, спотыкаются на одном и том же.

Оставлю как заметку пригодится.

Спасибо очень помогло.

Я столкнулся с тем же два года назад. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Пишите, если есть вопросы, отвечу по мере возможности.

Давайте немного раскрою техническую сторону. Не полагайтесь на одну меру защиты; действуйте слоями.

Хорошо, что вы создали эту тему. Больше всего времени у нас уходило на то что было непонятно, кто принимает решения.

Спешка в решениях оборачивается исправлениями через полгода. Это мое мнение, не утверждаю, что оно единственно верное.

Слежу за темой.

У меня было наоборот, поэтому и пишу. Решения работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

На этом всё извините если затянул.

Самое упускаемое из вида в теме чек-лист по безопасности AWS: То, что делают все, не значит, что это правильно.

Это мое мнение, не утверждаю, что оно единственно верное.