Her şeyi AWS'e taşıdık — kendi başımıza uygulayabileceğimiz bir güvenlik denetim listesi var mı?

Hemen bugün yapmanız gereken üç acil madde: 1) Fatura uyarılarını (Billing Alerts) kurun; izinsiz bir kripto madenciliği girişimi olursa hesabınız binlerce sterlin fatura üretmeden haberiniz olur. 2) CloudTrail kayıtlarının tüm bölgelerde açık olduğunu doğrulayın. 3) Veritabanı otomatik yedeklerinin devrede olduğunu teyit edin.

Birleşik Krallık veri koruma mevzuatı (UK GDPR) kapsamında müşteri finansal verisi tuttuğunuz için yasal sorumluluk doğrudan şirket yöneticilerindedir. Dışarıdan tam kapsamlı sızma testi almasanız dahi, en azından uyguladığınız bu güvenlik kontrollerini tarih ve ekran görüntüsüyle dokümante etmenizi tavsiye ederim.

Geçen yıl benzer bir geçişten sonra kontrol ettiğimizde, dışarıdan çalışan yazılımcının yönetici yetkili bir API anahtarını yerel bilgisayarında unuttuğunu fark ettik. Tam 4 ay boyunca o anahtar açıkta durmuş. Şans eseri bir sızıntı olmadı ama o günden beri her ayın ilk pazartesi IAM anahtarlarını inceliyoruz.

IAM konsoluna girip 'Credential Report' indirin. Bu tek dosya, hangi kullanıcının MFA açmadığını, hangi erişim anahtarının en son ne zaman kullanıldığını ve şifrelerin kaç günlük olduğunu tek tabloda verir. İlk 10 dakikada en büyük kör noktaları buradan yakalarsınız.

s3 taraıfnda public access ayarını tamamen kapatırsak müşterilerin fatura PDFleri etkilenir mi? uygulama üzerinden belge indirttikleri icin bu ayarı kapatınca kullanıcılar hata alır mı diye emin olamadım.

S3 erişimi icin genel kural şudur: Dosyalar internete doğrudan açık olmamalıdır. Müşteriye dosya gösterirken uygulamanız arka planda geçici imzalı bağlantılar (presigned URL) üretir. bu arada bu sayede depolama kovanız tüm dünyaya kapalı kalır ama uygulamanız yetkili kullanıcıya 5 dakikalık güvenli indirme bağlantısı sunar.

Herkes güvenlik araçlarını ve log sistemlerini açmayı anlatır ama kimse maliyetten bahsetmez. Güvenlik ve izleme servislerini körü körüne tüm bölgelerde açarsanız ay sonunda ana sunucu maliyetinizden fazla log faturası ödersiniz. Sadece kullandığınız aktif bölgede aktifleştirin.

İlk iş olarak Trusted Advisor sayfasına girin. Ücretsiz sürümü bile temel güvenlik açıkları, açık portlar ve kök hesap MFA durumu hakkında kırmızı bayraklar kaldırır. Oradaki kırmızıları sıfırlamak bile sizi riskin büyük kısmından kurtarır.

Yeni girenler için kısa özet: Yanlış alarmı azarlarsanız bi daha kimse bildirim yapmıyor.

Başka türlü yapan varsa onu da merak ederim.

Bizde şöyle oldu. AWS güvenlik denetim listesi konusunda acele eden herkez aynı yerde takılıyor.

Tek bi önleme güvenmeyin; katman katman gidin... Sonucu buraya yazarsanız başkalarına da faydası olur.

kusura bakmayın da bu her durumda geçerli değl ama bu arada aWS güvenlik denetim listesi konusunda acele eden herkes aynı yerde takılıyor.

not olarak bırakaymı lazım olur.

tşk ederim çok işime yaradı.

İki yıl önce aynısını yaşadım. Unutulmuş test ortamları, canlı sistemden daha sık kapı oluyor.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Teknik tarafını biraz açayım. Tek bir önleme güvenmeyin; katman katman gidin.

Bu başlığı açtığınız iyi olmuş. işte bizde en çok zaman kaybettiren şey kimin karar vereceğinin belli olmamasıydı.

Acele karar, altı ay snra düzeltilen karar oluyor. valla benim görüşüm bu kesin doğru diye yazmıyorum.

Takipteyim.

bendde tam tersi oldu, o yüzden yazıyorum. valla küçük ölçekte işe yarayan çözüm büyüyünce çöküyor bunu geç öğrendim.

bu kadar, uzattıysam kusura bakmayın.

AWS güvenlik denetim listesi konusunda en çok atlanan nokta şu: Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor.

Benim görüşüm bu, kesin doğru diye yazmıyorum.