Cloud-Sicherheit

Hintergrund

Crawford Technologies, Inc (CrawfordTech) ist seit über 25 Jahren ein unabhängiger Softwareanbieter (ISV). Durch ständige Innovation bleibt CrawfordTech an der Spitze der Technologietrends. Seit seiner Gründung hat CrawfordTech die Software- und Lösungsentwicklung unter Berücksichtigung dieser fünf Prinzipien angegangen:

• Minimieren Sie die Gesamtbetriebskosten (TCO)
• Geben Sie einen klaren Upgrade-Pfad an
• Bauen Sie auf vorhandenen Stärken auf.
• Bringen Sie Innovation mit Zuverlässigkeit in Einklang.
• Sorgen Sie für die Sicherheit unserer Kunden

Architektur

Dieses gemeinsame Modell entlastet CrawfordTech und den Kunden von der betrieblichen Belastung, da AWS die Komponenten vom Host-Betriebssystem und der Virtualisierungsebene bis hin zur physischen Sicherheit der Einrichtungen, in denen der Dienst betrieben wird, betreibt, verwaltet und kontrolliert. CrawfordTech übernimmt die Verantwortung und Verwaltung des Gastbetriebssystems (einschließlich Updates und Sicherheitspatches), anderer zugehöriger Anwendungssoftware sowie die Konfiguration der von AWS bereitgestellten Sicherheitsgruppen-Firewall. CrawfordTech hat sich dafür entschieden, die gesamte virtualisierte Hardware, Anwendung und Systemsoftware in einer Virtual Private Cloud (VPC) auszuführen, und hat die als seine Zuständigkeiten ausgewählten Dienste, die verwendeten AWS-Dienste, die Integration dieser Dienste in die Computerumgebung und die geltenden Gesetze sorgfältig geprüft und Vorschriften.

Wie in der folgenden Tabelle dargestellt, wird diese Unterscheidung der Verantwortung allgemein als Sicherheit „der“ Cloud und Sicherheit „in“ der Cloud bezeichnet.

Die Verantwortung von AWS „Sicherheit der Cloud“ – AWS ist für den Schutz der Infrastruktur verantwortlich, auf der alle in der AWS Cloud angebotenen Dienste ausgeführt werden. Diese Infrastruktur besteht aus Hardware, Software, Netzwerken und Einrichtungen, die AWS Cloud-Dienste ausführen.

CrawfordTech-Verantwortung „Sicherheit in der Cloud“ – Die CrawfordTech-Verantwortung wird durch die ausgewählten AWS-Cloud-Dienste bestimmt. Dies bestimmte den Umfang der Konfigurationsarbeiten, die CrawfordTech im Rahmen seiner Sicherheitsverantwortung durchführen musste. Beispielsweise wird ein Dienst wie Amazon Elastic Compute Cloud (Amazon EC2) als Infrastructure as a Service (IaaS) kategorisiert und erfordert daher von CrawfordTech die Durchführung aller erforderlichen Sicherheitskonfigurations- und Verwaltungsaufgaben.

CrawfordTech ist für die Verwaltung des Gastbetriebssystems (einschließlich Updates und Sicherheitspatches), aller von CrawfordTech auf den Instanzen installierten Anwendungssoftware oder Dienstprogramme sowie für die Konfiguration der von AWS bereitgestellten Firewall (Sicherheitsgruppe genannt) auf jeder Instanz verantwortlich. Für abstrahierte Dienste wie Amazon S3 und Amazon DynamoDB betreibt AWS die Infrastrukturschicht, das Betriebssystem und die Plattformen, und CrawfordTech greift auf die Endpunkte zu, um Daten zu speichern und abzurufen. CrawfordTech ist für die Verwaltung seiner Daten (einschließlich Verschlüsselungsoptionen), die Klassifizierung von Assets und die Verwendung von IAM-Tools zur Anwendung der entsprechenden Berechtigungen verantwortlich.

Sicheres Modell

Dieses CrawfordTech/AWS-Modell der gemeinsamen Verantwortung erstreckt sich auch auf IT-Kontrollen. Ebenso wie die Verantwortung für den Betrieb der IT-Umgebung zwischen AWS und seinen Kunden geteilt wird, teilen sich auch die Verwaltung, der Betrieb und die Überprüfung der IT-Kontrollen die Verantwortung. AWS trägt dazu bei, die Belastung durch Betriebskontrollen zu verringern, indem es die Kontrollen verwaltet, die mit der in der AWS-Umgebung bereitgestellten physischen Infrastruktur verbunden sind und zuvor möglicherweise von einzelnen Kundenorganisationen verwaltet wurden. Diese Verlagerung der Verwaltung bestimmter IT-Kontrollen zu AWS führt zu einer (neuen) verteilten Kontrollumgebung. CrawfordTech nutzt die AWS-Kontroll- und Compliance-Dokumentation, um bei Bedarf seine Kontrollbewertungs- und Verifizierungsverfahren durchzuführen. Nachfolgend finden Sie Beispiele für Kontrollen, die von AWS, CrawfordTech und/oder beiden verwaltet werden.

Geerbte Steuerelemente – Steuerelemente, die CrawfordTech vollständig von AWS übernimmt.

• Physische und Umgebungskontrollen

Gemeinsame Kontrollen – Kontrollen, die sowohl für die Infrastrukturebene als auch für die Kundenebene gelten, jedoch in völlig unterschiedlichen Kontexten oder Perspektiven. Bei einer gemeinsamen Kontrolle stellt AWS die Anforderungen an die Infrastruktur bereit und CrawfordTech stellt seine eigene Kontrollimplementierung im Rahmen der Nutzung von AWS-Diensten bereit. Beispiele beinhalten:

• Patch-Management – ​​AWS ist für das Patchen und Beheben von Fehlern in der Infrastruktur verantwortlich, CrawfordTech ist jedoch für das Patchen seines Gastbetriebssystems und seiner Anwendungen verantwortlich.
• Konfigurationsmanagement – ​​AWS verwaltet die Konfiguration seiner Infrastrukturgeräte, CrawfordTech ist jedoch für die Konfiguration seiner eigenen Gastbetriebssysteme, Datenbanken und Anwendungen verantwortlich.
• Sensibilisierung und Schulung – AWS schult AWS-Mitarbeiter und CrawfordTech schult seine eigenen Mitarbeiter.

Compliance

Befolgen Sie die IAM-Best Practices

• Nutzen Sie den AWS Identity and Access Management Service, damit Benutzer den Zugriff auf AWS-Services und -Ressourcen sicher verwalten können.
• Verwalten Sie AWS, indem Sie Gruppen und Benutzer erstellen und detaillierte Berechtigungsrichtlinien anwenden, um eingeschränkten Zugriff auf APIs und Ressourcen bereitzustellen.
• Befolgen Sie bei der Sicherheit den „geringsten Privilegien“-Ansatz.
• Zugriffsschlüssel und Passwörter rotieren.

Verwalten Sie den Zugriff auf Betriebssystemebene und sorgen Sie für die Sicherheit von EC2-Instanzen

• Führen Sie regelmäßig eine Inspektorbewertung durch, um einen Schwachstellenbericht auf Betriebssystemebene zu erstellen.
• Verwenden Sie den System Patch Manager, um Betriebssystempakete auf dem neuesten Stand zu halten.
• Patchen Sie die EC2-Instanzen regelmäßig, um die Infrastruktur vor neu entdeckten Fehlern und Schwachstellen zu schützen.
• Befolgen Sie die Sicherheitshinweise der Betriebssystemanbieter RedHat, Suse, Microsoft usw.

Verschlüsselung

• Verschlüsseln Sie alle Daten, egal ob während der Übertragung oder im Ruhezustand.
• Verwenden Sie AWS KMS zum Speichern von ruhenden Verschlüsselungsschlüsseln, die von AWS generiert werden.
• Verwenden Sie Cloud HSM, um hardwareverschlüsselte Geräte zum Speichern von Schlüsseln bereitzustellen.
• Nutzen Sie AWS-Services, die eine Verschlüsselung während der Übertragung bereitstellen, indem Sie https-Endpunkte bereitstellen, die eine End-to-End-Verschlüsselung bereitstellen.
• AWS Certificate Manager zum Erstellen eines SSL-Zertifikats für die öffentliche Domäne.

Befolgen Sie die bewährten Sicherheitspraktiken für AWS-Datenbank- und Speicherdienste

• Der RDS-Speicher wird im Ruhezustand verschlüsselt.
• Beschränken Sie den Zugriff auf RDS-Instanzen, um das Risiko böswilliger Aktivitäten wie Brute-Force-Angriffe, SQL-Injections oder DoS-Angriffe zu verringern.
• Der S3-Speicher wird im Ruhezustand verschlüsselt.
• Die S3-Richtlinie wird verwendet, um den Zugriff auf S3-Inhalte einzuschränken.
• Verwenden Sie AWS Macie, um vertrauliche Daten innerhalb von AWS-S3 zu erkennen und zu sichern.
• Verwenden Sie den AWS Parameter Store, um umgebungsspezifische Anmeldeinformationen und Geheimnisse zu speichern und so die Verwaltung von Geheimnissen für Ihre cloudnative Anwendung zu erreichen.

Netzwerksicherheit

• Nutzen Sie Intrusion-Detection-Systeme (IDS) oder Intrusion-Prevention-Systeme (IPS), um Angriffe auf kritische Infrastrukturen wie Zahlungsgateways zu erkennen und zu verhindern.
• Stellen Sie sicher, dass VPC-Flussprotokolle aktiviert sind, um den Netzwerkverkehr zu überwachen.
• Beschränken Sie den Zugriff nach Sicherheitsgruppe. (EC2, RDS, Elastic Cache usw.)
• Verwenden Sie Guard Duty, um AWS-Konten und -Infrastrukturen kontinuierlich zu überwachen.

Sicherheit von Webanwendungen

• Verwenden Sie Web Application Firewalls (WAF), um eine umfassende Paketprüfung für den Webverkehr bereitzustellen.
• Nutzen Sie Amazon Inspector, einen automatisierten Sicherheitsbewertungsdienst, der die Sicherheit und Compliance von auf AWS bereitgestellten Anwendungen verbessert.

Aktivieren Sie das Konfigurationsmanagement

• Verwenden Sie AWS Config, um die Konfigurationsänderungen innerhalb von AWS zu prüfen, zu bewerten und auszuwerten.

Überwachung und Alarmierung

• CloudTrail ermöglicht die Prüfung und Überwachung autorisierter und nicht autorisierter Aktivitäten innerhalb des AWS-Kontos.
• CloudWatch-Warnungen können für böswillige Aktivitäten innerhalb des AWS-Kontos und der in AWS bereitgestellten Infrastruktur sowie in Anwendungsprotokollen eingerichtet werden.
• Richten Sie Abrechnungsalarme ein, um Ihr Team über die Kostenauslastung bestimmter Konten oder Infrastruktur auf dem Laufenden zu halten.

Compliance, Schulung und Zertifizierung

• Verwenden Sie AWS Artifact für den On-Demand-Zugriff auf AWS-Compliance-Berichte.
• Schulen und schulen Sie Teams, die die AWS-Cloud-Plattform für die Bereitstellung nutzen, oder sind für die Infrastruktur verantwortlich.

Die Implementierung dieser Best Practices für die Cloud-Sicherheit anhand der von AWS bereitgestellten Richtlinien hat es CrawfordTech ermöglicht, die richtigen Sicherheitsmaßnahmen zu implementieren und „Best-of-Breed“-Sicherheitspraktiken mit „Weltklasse“-Services bereitzustellen, auf die sich Kunden verlassen können.