AWS fournit des services et une infrastructure de sécurité, tandis que les clients sont responsables de la configuration et de la maintenance de ces services au fil du temps.
Alors que les entreprises transfèrent leurs données et leurs opérations vers le cloud, la sécurité est un facteur important à prendre en compte. Amazon Web Services (AWS) est un fournisseur de services cloud couramment utilisé, et Elastic Compute Cloud (EC2) est son service le plus populaire. Pour garantir la sécurité de vos données, applications et infrastructure, il est essentiel de sécuriser votre instance AWS EC2.
Pour vous aider à protéger vos données, AWS fournit un modèle de responsabilité partagée pour la sécurité. Ce modèle aide les clients à comprendre leurs responsabilités en matière de sécurité en les divisant en deux catégories : la responsabilité d'AWS et la responsabilité du client.
Le modèle de responsabilité partagée AWS aide à clarifier la distinction entre la sécurité du cloud et la sécurité dans le cloud. Le modèle indique qu'AWS est chargé d'assurer la sécurité de l'infrastructure sous-jacente qui alimente tous les services cloud.
Dans le même temps, les clients sont responsables de la protection de leur contenu et de leurs applications s'exécutant sur l'environnement AWS. Cela comprend la surveillance et la protection des données, la configuration pare-feu règles, sécurisation du contrôle d'accès, etc.
En suivant ces bonnes pratiques, vous pouvez sécuriser vos ressources AWS EC2 et vous assurer qu'elles restent sûres et conformes aux normes de l'industrie.
Control User Access to EC2 instance with IAM
Les rôles IAM (gestion des identités et des accès) sont un composant essentiel de la sécurité AWS EC2. Rôles IAM fournir un moyen sécurisé d'accorder l'accès aux services AWS. Ils vous permettent d'accorder en toute sécurité des privilèges à un utilisateur ou à une application tout en contrôlant l'accès aux ressources de votre environnement AWS.
Dans AWS, les rôles IAM permettent aux applications d'effectuer des demandes d'API à partir d'instances sans avoir à gérer les informations d'identification ; au lieu de gérer les informations d'identification AWS, vous pouvez attribuer l'autorisation d'effectuer des demandes d'API à l'aide de rôles IAM, comme indiqué ci-dessous.
- Créer un rôle IAM
- Spécifiez quels comptes ou services AWS peuvent jouer le rôle
- Configurez les actions et les ressources de l'API auxquelles l'application peut accéder lorsqu'elle prend le rôle
- Inclure le rôle lors du lancement d'une instance ou attacher le rôle à une instance existante
- Laissez l'application obtenir un ensemble d'informations d'identification temporaires et utilisez-les pour envoyer des demandes à AWS
L'autorisation pour les opérations d'API suivantes est requise pour permettre à un utilisateur IAM de créer une instance parallèlement à un rôle IAM ou d'attacher ou de modifier un rôle IAM pour une instance existante.
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"ec2:RunInstances",
"ec2:AssociateIamInstanceProfile",
"ec2:ReplaceIamInstanceProfileAssociation"
],
"Resource": "*"
},
{
"Effect": "Allow",
"Action": "iam:PassRole",
"Resource": "arn:aws:iam::123456789012:role/DevTeam*"
}
]
}En créant des rôles IAM et en les affectant à Instances EC2, vous pouvez vous assurer que seuls les utilisateurs disposant des autorisations appropriées peuvent accéder aux données et ressources sensibles.
Restrict Access to AWS EC2 instances with network access controls
L'un des meilleurs moyens d'assurer la sécurité de vos instances AWS EC2 consiste à restreindre l'accès au réseau. Vous ne devez autoriser l'accès qu'à partir d'adresses IP et de ports de confiance spécifiques lors de la configuration de l'accès au réseau, par exemple.
Configurez une liste de contrôle d'accès au réseau ou des règles de groupe de sécurité dans votre Cloud privé virtuel (VPC) pour accepter ou rejeter des adresses IP spécifiques pour vos instances EC2. Les groupes de sécurité et les contrôles d'accès au réseau sont des moyens efficaces de limiter l'accès à vos instances AWS EC2.
Les groupes de sécurité vous permettent de spécifier les adresses IP et les ports autorisés à accéder à votre instance EC2. Les contrôles d'accès au réseau peuvent restreindre l'accès à des services et ports spécifiques au sein de votre instance.
Pour configurer l'ACL réseau, procédez comme suit.
- Lancer la console Amazon VPC
- Choisissez les ACL réseau dans le volet de navigation
- Sélectionnez créer une ACL réseau
- Nommez votre ACL réseau dans la boîte de dialogue de création d'ACL réseau et choisissez l'ID de votre VPC dans la liste VPC.
- Sélectionnez Oui, créer
Pour chaque groupe de sécurité, vous pouvez configurer des règles pour limiter le trafic entrant ou sortant. Vous pouvez spécifier des adresses IP, des ports, des protocoles et des directions (entrantes ou sortantes). Suivez les étapes suivantes pour créer un groupe de sécurité.
- Lancer la console Amazon VPC
- Sélectionnez des groupes de sécurité dans le volet de navigation
- Sélectionnez créer un groupe de sécurité
- Tapez un nom et une description pour le groupe de sécurité (ce processus ne peut pas être annulé)
- Dans VPC, choisissez le VPC
- Vous pouvez ajouter des règles de groupe de sécurité maintenant ou plus tard
- Vous pouvez ajouter des balises maintenant ou plus tard - pour ajouter une balise, sélectionnez ajouter une nouvelle balise et entrez la clé et la valeur de la balise
- Sélectionnez créer un groupe de sécurité
Lors de la configuration des groupes de sécurité, soyez toujours aussi restrictif que possible. Limitez l'accès aux seuls ports et adresses IP nécessaires et assurez-vous que tous les autres ports sont bloqués. De plus, assurez-vous de revoir régulièrement les règles du groupe de sécurité pour vous assurer qu'elles restent efficaces.
Amazon Machine Images Encryption
Amazon Machine Images (AMI) sont des machines virtuelles qui fournissent les informations requises pour lancer une instance. Pour protéger vos données stockées dans une instance, il est indispensable de chiffrer l'AMI que vous utilisez.
Le chiffrement AWS AMI permet aux clients de rester en conformité avec le chiffrement standard de l'industrie, tel que PCI-DSS, HIPAA, GDPR, APRA, MAS et NIST4. Les clés de chiffrement AMI utilisent l'algorithme AES-256, connu pour fournir des fonctions de hachage cryptographique sécurisées pour le chiffrement au repos.
Il garantit que les données stockées dans l'AMI sont protégées contre les attaquants potentiels et les accès non autorisés. Pour protéger vos données stockées dans une instance, AWS Key Management Service (KMS) vous aide à contrôler les clés de chiffrement et à les utiliser pour chiffrer les données stockées dans vos ressources AWS, telles que les instances EC2.
KMS vous permet également de gérer le contrôle d'accès, la journalisation des audits et la rotation des clés pour sécuriser vos données et vous aider à respecter vos exigences de conformité.
Use AWS CloudTrail to track User Activities
CloudTrail est un service qui permet aux utilisateurs de surveiller et d'auditer l'activité AWS. Avec CloudTrail, vous pouvez suivre qui a apporté des modifications à vos ressources et à votre infrastructure AWS. CloudTrail vous permet de consigner tous les appels d'API effectués sur votre compte. Il surveille les éléments suivants :
- Créez, supprimez et modifiez des opérations sur des ressources telles que des instances EC2, des compartiments S3, des VPC, etc.
- Invocation de Fonctions Lambda
- D'autres actions sont effectuées dans AWS Management Console
CloudTrail capture un enregistrement de chaque action entreprise sous la forme d'un événement. Cet événement sera écrit dans un fichier journal CloudTrail, qui pourra ensuite être utilisé pour une analyse et un audit plus poussés. L'activation de CloudTrail est une bonne pratique de sécurité essentielle pour les environnements AWS EC2, car elle fournit une piste d'audit de toutes les activités liées à l'environnement.
Pour activer CloudTrail pour un enregistrement continu des événements dans votre compte AWS, accédez à la console CloudTrail, sélectionnez « Créer un suivi » et configurez les paramètres. Une fois que vous avez activé la journalisation CloudTrail, il est essentiel de consulter périodiquement les journaux et de vérifier les accès non autorisés ou les activités suspectes.
Vous pouvez également utiliser CloudTrail pour détecter des comportements anormaux au sein de votre environnement, tels que des changements inattendus ou des activités suspectes. En prenant le temps de configurer correctement la journalisation CloudTrail pour votre environnement AWS EC2, vous pouvez vous assurer que votre environnement est sécurisé et que toutes les activités sont surveillées.
Review Security of EC2 Instance OS
Il est important de garantir la sécurité du système d'exploitation exécuté sur l'instance AWS EC2. Cela peut être fait en configurant le pare-feu, installer et mettre à jour un logiciel antivirus et corriger les vulnérabilités.
- Les pare-feu doivent être configurés pour n'autoriser que les ports et protocoles nécessaires
- Anti-virus les logiciels doivent être installés et mis à jour régulièrement pour empêcher les programmes malveillants de s'infiltrer dans le système
- Gestion des correctifs doit être utilisé pour s'assurer que toutes les vulnérabilités connues du système ont été corrigées
- Une surveillance doit être mise en place pour détecter toute activité suspecte. Cela peut inclure l'utilisation d'outils tels que LogRhythm pour surveiller l'activité des utilisateurs, l'accès et les modifications apportées aux fichiers et aux répertoires.
En mettant en œuvre ces mesures, vous pouvez vous assurer que votre instance AWS EC2 reste sécurisée.
Enable Amazon CloudWatch Logs
Amazon CloudWatch Logs est un outil précieux pour le suivi, le stockage et la surveillance des données de journal des applications, des systèmes d'exploitation et d'autres ressources s'exécutant sur AWS. Avec CloudWatch Logs, vous pouvez facilement rechercher, analyser et configurer des alarmes pour surveiller l'activité de votre système.
Les avantages de CloudWatch Logs incluent une visibilité accrue des performances du système et la capacité de surveiller les problèmes de sécurité potentiels.
L'agent CloudWatch peut être téléchargé et installé via la ligne de commande ou via l'agent Systems Manager (SSM). Il peut être utilisé pour collecter des métriques et des journaux à partir d'instances Amazon EC2 et de serveurs sur site.
Lors de la configuration de l'agent CloudWatch, vous devez décider quels types de journaux doivent être collectés et stockés dans CloudWatch Logs. Vous devez également configurer les rôles IAM pour l'agent CloudWatch afin qu'il dispose de privilèges suffisants pour accéder et stocker les données pertinentes dans CloudWatch Logs.
Conclusion
Violations de données peut survenir à tout moment et avoir de graves implications financières et de réputation pour les entreprises. C'est pourquoi il est essentiel de prendre des mesures pour assurer la sécurité de votre environnement AWS EC2.
En suivant de manière proactive ces meilleures pratiques et en mettant en œuvre des mesures de sécurité efficaces, les entreprises peuvent réduire leur risque de subir une violation de données. De plus, éduquer les utilisateurs sur l'importance d'une sécurité adéquate et de bonnes pratiques de cyber-hygiène aidera à garantir que chaque membre de votre organisation comprend son rôle dans la sécurité des systèmes.
Vous pouvez également explorer certains des meilleurs Outils de surveillance AWS.
