Mitkä ovat AWS:n turvallisuuden parhaita käytäntöjä?

Question

Accepted Answer

AWS:n turvaaminen edellyttää useita kerroksia — **identiteetti ja pääsynhallinta (IAM)**, **verkon turvallisuus**, **tietojen suojaus (salaus)**, **seuranta/havaitseminen** ja **jaetun vastuumallin** noudattamista. Turvallisuus on kriittinen, jatkuva toiminta ja Well-Architected-arkkitehtuurin pilari.

## Jaettu vastuumalli

```text
AWS secures the CLOUD (infrastructure: hardware, facilities, managed service internals).
YOU secure what's IN the cloud (your data, IAM, network config, OS patching on EC2,
  application security, access control).
→ Know the boundary: AWS handles infrastructure; YOU handle configuration and data.
  Most breaches are CUSTOMER misconfigurations (e.g. public S3 buckets), not AWS failures.
```

## Identiteetti ja pääsynhallinta

```text
✓ LEAST PRIVILEGE — grant only needed permissions (the most important IAM principle)
✓ Use ROLES (temporary credentials) not long-lived access keys; rotate any keys
✓ Protect the ROOT account (MFA, don't use it daily); enforce MFA broadly
✓ Use IAM properly; SCPs for org guardrails; audit with Access Analyzer
```

## Verkon ja tietojen suojaus

```text
NETWORK → VPC isolation; private subnets for backends; security groups (least access);
  don't expose resources publicly unnecessarily (databases in private subnets!)
DATA → ENCRYPT at rest (S3, EBS, RDS — often a checkbox) and in transit (TLS);
  manage keys (KMS); ⚠️ avoid public S3 buckets (a top cause of breaches);
  classify and protect sensitive data; manage secrets (Secrets Manager, not in code)
```

## Havaitseminen ja seuranta

```text
✓ CloudTrail → log ALL API activity (audit trail — who did what)
✓ GuardDuty → threat detection; Config → compliance/configuration auditing
✓ Security Hub → centralized security posture; CloudWatch alarms on suspicious activity
✓ Detect and respond to incidents; review regularly
```

## Miksi se on tärkeää

AWS:n turvallisuuden parhaiden käytäntöjen ymmärtäminen on kriittinen senioritason tieto, koska turvallisuus on perustavanlaatuinen, korkeariskin huolenaihe, ja pilvipalveluilla on erityisiä turvallisuusnäkökohtia, joten se on välttämätöntä AWS:n vastuulliselle käytölle.

**Jaetun vastuumallin** ymmärtäminen on perustava: AWS turvaa taustalla olevan infrastruktuurin, mutta **sinä olet vastuussa tietojen, pääsynhallinnan, verkkokonfiguraation ja sovellusten turvaamisesta** — ja kriittinen näkemys on, että **useimmat rikkoutukset johtuvat asiakkaan väärinkonfiguraatioista** (kuten julkisista S3-ämpäreistä tai liian laajoista oikeuksista), ei AWS-infrastruktuurin virheistä, joten omien vastuiden ymmärtäminen on välttämätöntä.

Jokainen turvallisuuskerros on tärkeä: **identiteetti ja pääsynhallinta** (erityisesti **vähiten oikeuksien periaate** — tärkein IAM-periaate — roolien käyttö pitkäkestoisesti elossa olevien avainten sijasta, päätilin suojaaminen ja MFA:n pakottaminen) estää pääsynhallinnan epäonnistumiset, jotka aiheuttavat monia rikkoutumisia; **verkon turvallisuus** (VPC-eristys, yksityiset aliverkkot tausta-järjestelmille, kuten tietokannoille, vähiten oikeudet turvallisuusryhmille, resurssien julkisoimatta jättäminen) suojaa järjestelmiä verkon tasolla; **tietojen suojaus** (salaus liikkeessä ja levossa, avainten hallinta, julkisten S3-ämpärien välttäminen, oikea salaisuuksien hallinta) suojaa arkaluonteisia tietoja; ja **havaitseminen ja seuranta** (CloudTrail audit-lokitukselle, GuardDuty uhkien havaitsemiselle, Config vaatimustenmukaisuudelle, Security Hub) mahdollistaa uhkien havaitsemisen ja niihin vastaamisen.

Näiden kerrostuneiden käytäntöjen ymmärtäminen — ja että turvallisuus on jatkuva toiminta, joka käsittelee yleisiä tosielämän epäonnistumisia (väärinkonfiguraatiot, liiallinen oikeudet, julkinen paljastaminen, salatut tiedot) — heijastaa kattavan turvallisuusajattelutavan, joka tarvitaan tuotannon AWS:ssä.

Koska AWS-turvallisuus on korkeariskin (rikkoutukset ovat kalliita ja yleisiä, useimmiten asiakkaan väärinkonfiguraatioista johtuen) ja vaatii kerrostettuja puolustuksia identiteettiin, verkkoon, tietoihin ja havaitsemiseen liittyen, ja koska jaetun vastuumallin ja parhaiden käytäntöjen ymmärtäminen on välttämätöntä AWS-järjestelmien turvaamiselle, AWS:n turvallisuuden parhaiden käytäntöjen ymmärtäminen on kriittinen senioritason tieto AWS:n vastuulliselle käytölle — korkea prioriteetti alue, jossa käytäntöjen ymmärtäminen (erityisesti vähiten oikeudet, julkisen paljastamisen välttäminen, salaus ja seuranta) estää suoranaisesti todelliset, yleiset turvallisuuden epäonnistumiset, jotka johtavat rikkoutumisiin, heijastellen senioritason pilvipalveluissa odotettavaa turvallisuusvastuuta.