Apakah amalan terbaik keselamatan AWS?

Question

Accepted Answer

Mengamankan AWS melibatkan berbilang lapisan — **identiti dan akses (IAM)**, **keselamatan rangkaian**, **perlindungan data (penyulitan)**, **pemantauan/pengesanan**, dan mematuhi **model tanggungjawab bersama (shared responsibility model)**. Keselamatan ialah disiplin kritikal yang berterusan dan satu tonggak Well-Architected.

## Model tanggungjawab bersama

```text
AWS secures the CLOUD (infrastructure: hardware, facilities, managed service internals).
YOU secure what's IN the cloud (your data, IAM, network config, OS patching on EC2,
  application security, access control).
→ Know the boundary: AWS handles infrastructure; YOU handle configuration and data.
  Most breaches are CUSTOMER misconfigurations (e.g. public S3 buckets), not AWS failures.
```

## Identiti dan akses

```text
✓ LEAST PRIVILEGE — grant only needed permissions (the most important IAM principle)
✓ Use ROLES (temporary credentials) not long-lived access keys; rotate any keys
✓ Protect the ROOT account (MFA, don't use it daily); enforce MFA broadly
✓ Use IAM properly; SCPs for org guardrails; audit with Access Analyzer
```

## Keselamatan rangkaian dan perlindungan data

```text
NETWORK → VPC isolation; private subnets for backends; security groups (least access);
  don't expose resources publicly unnecessarily (databases in private subnets!)
DATA → ENCRYPT at rest (S3, EBS, RDS — often a checkbox) and in transit (TLS);
  manage keys (KMS); ⚠️ avoid public S3 buckets (a top cause of breaches);
  classify and protect sensitive data; manage secrets (Secrets Manager, not in code)
```

## Pengesanan dan pemantauan

```text
✓ CloudTrail → log ALL API activity (audit trail — who did what)
✓ GuardDuty → threat detection; Config → compliance/configuration auditing
✓ Security Hub → centralized security posture; CloudWatch alarms on suspicious activity
✓ Detect and respond to incidents; review regularly
```

## Mengapa ia penting

Memahami amalan terbaik keselamatan AWS ialah pengetahuan peringkat senior yang kritikal kerana keselamatan ialah kebimbangan asas yang berisiko tinggi, dan awan mempunyai pertimbangan keselamatan yang khusus, jadi ia penting untuk mengendalikan AWS secara bertanggungjawab.

Memahami **model tanggungjawab bersama** adalah asas: AWS mengamankan infrastruktur asas, tetapi **anda bertanggungjawab untuk mengamankan data, akses, konfigurasi rangkaian, dan aplikasi anda** — dan pandangan penting ialah bahawa **kebanyakan pelanggaran berpunca daripada salah konfigurasi pelanggan** (seperti bucket S3 awam atau kebenaran yang terlalu luas), bukan kegagalan infrastruktur AWS, jadi mengetahui tanggungjawab anda adalah penting.

Setiap lapisan keselamatan penting: **identiti dan akses** (terutamanya **least privilege** — prinsip IAM yang paling penting — menggunakan peranan dan bukannya kunci berjangka panjang, melindungi akaun root, dan menguatkuasakan MFA) menghalang kegagalan kawalan akses yang menyebabkan banyak pelanggaran; **keselamatan rangkaian** (pengasingan VPC, subnet peribadi untuk backend seperti pangkalan data, kumpulan keselamatan akses minimum, tidak mendedahkan sumber secara awam) melindungi sistem pada lapisan rangkaian; **perlindungan data** (penyulitan semasa rehat dan dalam transit, pengurusan kunci, mengelakkan bucket S3 awam, pengurusan rahsia yang betul) melindungi data sensitif; dan **pengesanan dan pemantauan** (CloudTrail untuk pengelogan audit, GuardDuty untuk pengesanan ancaman, Config untuk pematuhan, Security Hub) membolehkan pengesanan dan tindak balas terhadap ancaman.

Memahami amalan berlapis ini — dan bahawa keselamatan ialah disiplin berterusan yang menangani kegagalan dunia sebenar yang biasa (salah konfigurasi, kebenaran berlebihan, pendedahan awam, data tidak tersulit) — mencerminkan minda keselamatan komprehensif yang diperlukan untuk AWS pengeluaran.

Memandangkan keselamatan AWS berisiko tinggi (pelanggaran mahal dan biasa, kebanyakannya daripada salah konfigurasi pelanggan) dan memerlukan pertahanan berlapis merentas identiti, rangkaian, data, dan pengesanan, dan memandangkan memahami model tanggungjawab bersama dan amalan terbaik adalah penting untuk mengamankan sistem AWS, memahami amalan terbaik keselamatan AWS ialah pengetahuan peringkat senior yang kritikal untuk mengendalikan AWS secara bertanggungjawab — bidang keutamaan tinggi di mana memahami amalan (terutamanya least privilege, mengelakkan pendedahan awam, penyulitan, dan pemantauan) secara langsung menghalang kegagalan keselamatan sebenar dan biasa yang membawa kepada pelanggaran, mencerminkan tanggungjawab keselamatan yang dijangka untuk peranan awan senior.