Katere so najboljše varnostne prakse AWS?

Question

Accepted Answer

Zavarovanje AWS vključuje več plasti — **identiteta in dostop (IAM)**, **varnost omrežja**, **zaščita podatkov (šifriranje)**, **spremljanje/zaznavanje** in spoštovanje **modela skupne odgovornosti**. Varnost je kritična, kontinuirana disciplina in one Wells-Architected steber.

## Model skupne odgovornosti

```text
AWS secures the CLOUD (infrastructure: hardware, facilities, managed service internals).
YOU secure what's IN the cloud (your data, IAM, network config, OS patching on EC2,
  application security, access control).
→ Know the boundary: AWS handles infrastructure; YOU handle configuration and data.
  Most breaches are CUSTOMER misconfigurations (e.g. public S3 buckets), not AWS failures.
```

## Identiteta in dostop

```text
✓ LEAST PRIVILEGE — grant only needed permissions (the most important IAM principle)
✓ Use ROLES (temporary credentials) not long-lived access keys; rotate any keys
✓ Protect the ROOT account (MFA, don't use it daily); enforce MFA broadly
✓ Use IAM properly; SCPs for org guardrails; audit with Access Analyzer
```

## Zaščita omrežja in podatkov

```text
NETWORK → VPC isolation; private subnets for backends; security groups (least access);
  don't expose resources publicly unnecessarily (databases in private subnets!)
DATA → ENCRYPT at rest (S3, EBS, RDS — often a checkbox) and in transit (TLS);
  manage keys (KMS); ⚠️ avoid public S3 buckets (a top cause of breaches);
  classify and protect sensitive data; manage secrets (Secrets Manager, not in code)
```

## Zaznavanje in spremljanje

```text
✓ CloudTrail → log ALL API activity (audit trail — who did what)
✓ GuardDuty → threat detection; Config → compliance/configuration auditing
✓ Security Hub → centralized security posture; CloudWatch alarms on suspicious activity
✓ Detect and respond to incidents; review regularly
```

## Zakaj je to pomembno

Razumevanje najboljših varnostnih praks AWS je kritično znanje na višji ravni, ker je varnost temeljni in visoko tvegan problem, in ker ima oblak posebne varnostne prevoze, zato je bistveno za odgovorno upravljanje AWS.

Razumevanje **modela skupne odgovornosti** je temeljno: AWS varnostno zagotavlja osnovno infrastrukturo, vendar **vi ste odgovorni za zavarovanje svojih podatkov, dostopa, konfiguracije omrežja in aplikacij** — in ključni vpogled je, da **večina kršitev izhaja iz napačnih konfiguracij stranke** (kot so javni S3 vedri ali preširoka dovoljeenja), ne iz napak AWS infrastrukture, zato je poznavanje vaših odgovornosti bistveno.

Vsaka varnostna plast je pomembna: **identiteta in dostop** (posebej **najmanjša privilegija** — najpomembnejše načelo IAM — uporaba vlog namesto dolgoročnih ključev, zaščita korenskega računa in uvajanje MFA) preprečuje napake pri nadzoru dostopa, ki povzročajo številne kršitve; **varnost omrežja** (izolacija VPC, zasebne podseče za ozadnje kot so podatkovne baze, najmanjšega dostopa varnostne skupine, ne izpostavljanje virov javnosti) ščiti sisteme na ravni omrežja; **zaščita podatkov** (šifriranje mirovanja in v prehodu, upravljanje ključev, izogibanje javnim S3 vedrom, pravilno upravljanje skrivnosti) ščiti občutljive podatke; in **zaznavanje in spremljanje** (CloudTrail za nadzor napak, GuardDuty za zaznavanje groženj, Config za skladnost, Security Hub) omogoča zaznavanje in odziv na grožnje.

Razumevanje teh plastnih praks — in da je varnost kontinuirana disciplina, ki se ukvarja s skupnimi dejanskim nezgodami (napačne konfiguracije, prevelika dovoljeenja, javna izpostavitev, nešifrirani podatki) — odraža obsežno varnostno miselnost, potrebno za proizvodni AWS.

Ker je AWS varnost visoko tvegana (kršitve so drage in pogoste, večinoma zaradi napačnih konfiguracij stranke) in zahteva plastne obrambe med identiteto, omrežjem, podatki in zaznavo, in ker je razumevanje modela skupne odgovornosti in najboljših praks bistveno za zavarovanje AWS sistemov, je razumevanje najboljših varnostnih praks AWS kritično znanje na višji ravni za odgovorno upravljanje AWS — področje visoke prioritete, kjer razumevanje praks (posebej najmanjše privilegije, izogibanja javni izpostavitvi, šifriranju in spremljanju) neposredno preprečuje resnične, pogoste varnostne napake, ki vodijo do kršitev, kar odraža varnostno odgovornost, pričakovano za višje vloge v oblaku.