Koja su AWS sigurnosna najbolja praksa?

Question

Accepted Answer

Osiguravanje AWS-a uključuje više slojeva — **identitet i pristup (IAM)**, **sigurnost mreže**, **zaštita podataka (enkripcija)**, **praćenje/detekcija** i pridržavanje **modela deljene odgovornosti**. Sigurnost je kritična, kontinuirana disciplina i stubac dobro osmišljene arhitekture.

## Model deljene odgovornosti

```text
AWS secures the CLOUD (infrastructure: hardware, facilities, managed service internals).
YOU secure what's IN the cloud (your data, IAM, network config, OS patching on EC2,
  application security, access control).
→ Know the boundary: AWS handles infrastructure; YOU handle configuration and data.
  Most breaches are CUSTOMER misconfigurations (e.g. public S3 buckets), not AWS failures.
```

## Identitet i pristup

```text
✓ LEAST PRIVILEGE — grant only needed permissions (the most important IAM principle)
✓ Use ROLES (temporary credentials) not long-lived access keys; rotate any keys
✓ Protect the ROOT account (MFA, don't use it daily); enforce MFA broadly
✓ Use IAM properly; SCPs for org guardrails; audit with Access Analyzer
```

## Zaštita mreže i podataka

```text
NETWORK → VPC isolation; private subnets for backends; security groups (least access);
  don't expose resources publicly unnecessarily (databases in private subnets!)
DATA → ENCRYPT at rest (S3, EBS, RDS — often a checkbox) and in transit (TLS);
  manage keys (KMS); ⚠️ avoid public S3 buckets (a top cause of breaches);
  classify and protect sensitive data; manage secrets (Secrets Manager, not in code)
```

## Detekcija i praćenje

```text
✓ CloudTrail → log ALL API activity (audit trail — who did what)
✓ GuardDuty → threat detection; Config → compliance/configuration auditing
✓ Security Hub → centralized security posture; CloudWatch alarms on suspicious activity
✓ Detect and respond to incidents; review regularly
```

## Zašto je važno

Razumevanje AWS sigurnosnih najboljih praksi je kritično znanje na višem nivou jer je sigurnost fundamentalna, visoko rizična briga, a cloud ima specifične sigurnosne razmatranja, tako da je neophodno za odgovornu upotrebu AWS-a.

Razumevanje **modela deljene odgovornosti** je osnovno: AWS osigurava osnovnu infrastrukturu, ali **vi ste odgovorni za osiguranje vaših podataka, pristupa, mrežne konfiguracije i aplikacija** — i kritično uvid je da **većina kršenja potiče iz greške u konfiguraciji kod kupaca** (poput javnih S3 korpi ili previše dozvoljenih dozvola), ne iz grešaka AWS infrastrukture, tako da poznavanje vaših odgovornosti je neophodno.

Svaki sigurnosni sloj je bitan: **identitet i pristup** (posebno **najmanja privilegija** — najvažnije IAM načelo — korišćenje uloga umesto dugotrajnih ključeva, zaštita root naloga i primena MFA) sprečava greške kontrole pristupa koje uzrokuju mnoga kršenja; **sigurnost mreže** (izolacija VPC-a, privatne podmreže za pozadinske sisteme kao baze podataka, sigurnosne grupe sa najmanjim pristupom, ne činjenje resursa javno dostupnim) štiti sisteme na mrežnom nivou; **zaštita podataka** (enkripcija u mirovanju i u tranzitu, upravljanje ključevima, izbegavanje javnih S3 korpi, pravilna upravljanja tajnama) štiti osetljive podatke; i **detekcija i praćenje** (CloudTrail za revizijsko logovanje, GuardDuty za detekciju pretnji, Config za usklađenost, Security Hub) omogućava detektovanje i reagovanje na pretnje.

Razumevanje ovih slojevitih praksi — i da je sigurnost kontinuirana disciplina koja rešava česta stvarna kršenja (greške u konfiguraciji, prevelike dozvole, javna izlaganja, nešifrovani podaci) — odražava sveobuhvatno sigurnosno mišljenje potrebno za produkcijski AWS.

Pošto je AWS sigurnost visoko rizična (kršenja su skupa i česta, uglavnom iz greške u konfiguraciji kod kupaca) i zahteva slojevite odbrane preko identiteta, mreže, podataka i detekcije, i pošto je razumevanje modela deljene odgovornosti i najboljih praksi neophodno za osiguranje AWS sistema, razumevanje AWS sigurnosnih najboljih praksi je kritično znanje na višem nivou za odgovornu upotrebu AWS-a — oblast visokog prioriteta gde razumevanje praksi (posebno najmanja privilegija, izbegavanje javnog izlaganja, enkripcija i praćenje) direktno sprečava stvarna, česta sigurnosna kršenja koja vode do kršenja, odražavajući sigurnosnu odgovornost očekivanu za starije cloud uloge.