Agenda. Nuestra Seguridad. Su Seguridad. Regulaciones

Transcripción

1 Seguridad con AWS

2 Agenda Nuestra Seguridad Regulaciones Su Seguridad Administración de cuentas (las llaves del reino) Aislamiento de servicios Auditoria y visibilidad

3 La seguridad es nuestra prioridad #1

4 La responsabilidad compartida en la seguridad

5 AWS Edificios Seguridad Física Infraestructura Física Infraestructura de red Infraestructura de virtualización Customer Sistemas operativos Aplicaciones Grupos de seguridad Firewalks y SO Configuración de red Administración de cuentas

6 Como es que AWS obtiene su seguridad? Acceso físico es grabado en video, almacenado y revisado Existe una autenticación Multi-factor para el acceso físico Segregación de responsabilidades: Personal con acceso físico Vs. Personal con acceso lógico Y Cada 90 días

7 Como es que AWS obtiene su seguridad?

8 Como es que AWS obtiene su seguridad?

9 Las evidencias comprueban que AWS cumple Certificaciones Auditorias y & Certificación Independientes por 3os Refrescados frecuentemente Disponibles para nuestros clientes aws.amazon.com/compliance

10 Certificaciones y Approving Industry Bodies

11 Asegure su cuenta

12 Identity and Access Management Usuarios y Grupos

13 Identity and Access Management Usuarios y Grupos Credenciales de Seguridad únicas

14 Identity and Access Management Usuarios y Grupos Credenciales de Seguridad únicas Credenciales de Seguridad temporales

15 Identity and Access Management Usuarios y Grupos Credenciales de Seguridad únicas Credenciales de Seguridad temporales Políticas y Permisos

16 Identity and Access Management Usuarios y Grupos Credenciales de Seguridad únicas Credenciales de Seguridad temporales Políticas y Permisos Roles

17 Identity and Access Management Usuarios y Grupos Credenciales de Seguridad únicas Credenciales de Seguridad temporales Políticas y Permisos Roles Autenticación Multi-factor

18 ProTip #1: Seguridad de cuenta

19 Identity and Access Management 1. Asegure su cuenta maestra con MFA 2. Cree un grupo de IAM Group para su grupo administrador 3. Cree usuarios IAM para su staff administrativa como miembros del grupo administrador 4. Active el MFA para esos usuarios

20 Identity and Access Management New: Administración de contraseñas mejorado Expiración Revisión de reúso Cambiar en el siguiente log in Reporte de Credenciales

21 ProTip #2: No almacene credenciales en el código

22 EC2 Roles for Temporary Credentials Elimine { GET las credenciales del "Code" : "Success", "LastUpdated" : " T16:39:16Z", "Type" : "AWS-HMAC", código de scripts y de archivos a-data/iam/security- de configuración credentials/s3access "AccessKeyId" : Cree un rol de IAM Role y "AKIAIOSFODNN7EXAMPLE", asigne una policía restrictiva "SecretAccessKey" : "wjalrxutnfemi/k7mdeng/bpxrficyexa Cree MPLEKEY", instancias con ese rol "Token" : "token", El SDK de AWS obtiene de "Expiration" : " T22:39:16Z" forma } transparente las credenciales temporales

23 ProTip #3: Políticas con los menores privilegios

24 IAM Policies Group DNS-Admins, Policy: Action : { route53:list*, route53:get*, route53changeresourcerecordsets } Resource : { arn:aws:route53:::hostedzone/zoneid }

25 IAM Policies Utilice condiciones para restringir la exposición de la llave Condition : { "IpAddress" : { "aws:sourceip" : [" /24", " /24"] } }

26 ProTip #4: Pruebe sus políticas

27 Identity and Access Management Pruebe sus políticas mediante el uso del simulador

28 Asegure sus datos durante el vuelo

29 Asegure sus datos durante el vuelo Utilice SSL / TLS para todo su trafico, Igual que lo hace para el acceso mediante API ProTip: Valide el Certificado SSL!

30 Asegure sus datos durante el vuelo SSL offload to the Elastic Load Balancing Service

31 Asegure sus datos at rest

32 Asegure sus datos at rest Amazon S3

33 S3 Server Side Encryption (SSE) Disponible desde 2011 AES 256-bit Totalmente transparente para los clientes Administración de llaves de AWS

34 S3 Nuevo: SSE con customer keys Disponible desde Junio de 2014 AES 256-bit, pero el cifrado y descifrado se hace en AWS Customer Key Management

35 S3 Client-side encryption (CSE) Customer key management Customer premise encryption/decryption Keys never sent to AWS Support in the Java AWS SDK: AmazonS3EncryptionClient

36 EBS & Storage Gateway Utilice file system cifrados en block storage (EBS, Storage Gateway ) dm-crypt/luks Windows BitLocker (whole disk), EFS (file level) Productos de socios: Trend, Safenet, etc y

37 EBS NEW: Encrypted Volumes Disponible desde May 2014 AWS rigid key management Encryption on server hosting the EC2 instance Snapshots of encrypted volumes also encrypted cannot be shared with other customers Only on supported instance types

38 Aísle sus servicios

39 Aísle sus servicios Una aplicación por instancia Simplifica análisis forense Simplifica Security Groups Swim-lane capacity overloads Limita el radio de explosión

40 Aisle sus servicios Virtual Private Cloud Security Groups No utilice /0 Separacion de Subnet con : Network ACLs, y IAM policy para prevenir cambios Routing tables, y IAM policy para prevenir cambios No Internet Gateway, y IAM policy para prevenir cambios

41 Log (& review) your API calls

42 CloudTrail Your staff or scripts make calls on AWS API endpoints CloudTrail logs this to an S3 bucket so you can review this log

43 CloudTrail Who made the API call? When was the API call made? What was the API call? What were the resources that were acted up on in the API call? Where was the API call made from?

44 Support: Trusted Advisor

45

46

47 Billing Alerts