Modelul de responsabilitate partajată

Modelul de responsabilitate partajată este fundamentul securității în cloud, definind clar cine este responsabil pentru protecția infrastructurii și cine pentru datele utilizatorului. În esență, providerul cloud (cum ar fi AWS) asigură securitatea a cloud-ului, adică hardware-ul, rețeaua globală și infrastructura fizică a datacenterelor. Tu, ca inginer, ești responsabil de securitatea în cloud, inclusiv configurarea corectă a firewall-elor, gestionarea accesului și criptarea datelor. Ignorarea acestei distincții este cea mai frecventă cauză a breșelor de securitate, deoarece mulți cred greșit că providerul protejează automat aplicațiile lor. Înțelegerea acestui model îți permite să auditezi eficient riscurile și să implementezi măsuri de conformitate precise.

Concepte cheie

• Securitatea Cloud-ului: Providerul gestionează integritatea fizică a serverelor, hipervizorilor și a rețelei globale, asigurând disponibilitatea infrastructurii de bază.
• Securitatea în Cloud: Clientul configurează sistemele de operare, bazele de date, aplicațiile și regulile de acces pentru a proteja datele și fluxurile de lucru.
• IAM (Identity and Access Management): Instrumentul principal prin care clientul controlează cine are acces la resursele cloud și ce permisiuni dețin acești utilizatori.
• Criptarea Datelor: Deși providerul oferă tool-uri, responsabilitatea activării criptării pentru datele stocate (S3, EBS) și în tranzit revine exclusiv clientului.
• Patch Management: Actualizarea sistemului de operare și a software-ului de aplicație este sarcina clientului, în timp ce providerul patch-uiește hardware-ul.
• Configurare Corectă: O configurație greșită a unui bucket S3 public sau a unei reguli de securitate este vina clientului, nu a providerului.
• Conformitate Legală: Respectarea legislației (GDPR, HIPAA) privind datele procesate este responsabilitatea totală a organizației client.

Exemplu practic

Să presupunem că deplasezi o aplicație web pe AWS. Providerul asigură că serverele fizice din regiunea eu-central-1 funcționează. Tu trebuie să:

1. Creezi un grup de securitate (Security Group) care blochează traficul HTTP/HTTPS neautorizat.
2. Configurezi IAM Roles pentru ca aplicația să acceseze S3 fără a folosi chei statice hardcodate.
3. Activezi versiunile de obiecte în S3 pentru a preveni pierderea datelor prin ștergere accidentală.

Dacă un hacker accesează baza de date pentru că ai lăsat portul 3306 deschis către 0.0.0.0/0, vina este a ta, chiar dacă serverul fizic era impecabil.

Greșeli frecvente

• Credințe hardcodate: Stocarea cheilor AWS direct în codul sursă, expunându-le la furt prin depozite Git publice.
• Permisiuni excesive: Atribuirea drepturilor AdministratorAccess unor roluri care au nevoie doar de citire, creând vectori largi de atac.
• Resurse publice nedorite: Lansarea unor instanțe EC2 sau bucket-uri S3 cu acces public inadvertent din cauza configurațiilor default nesigure.
• Neglijarea logging-ului: Neactivarea AWS CloudTrail sau VPC Flow Logs, făcând imposibilă investigarea incidentelor de securitate.

Întrebări de interviu

1. Care este diferența dintre securitatea cloud-ului și securitatea în cloud? Providerul asigură securitatea infrastructurii fizice și a rețelei (cloud-ul), iar clientul este responsabil pentru securitatea datelor, a sistemului de operare și a aplicațiilor (în cloud).

2. De ce este critică gestionarea strictă a IAM? Pentru că aplică principiul privilegiului minim; dacă un cont este compromis, impactul este limitat doar la resursele permise acelui rol, reducând riscul de escaladare a privilegiilor.

3. Cine este responsabil dacă un server fizic din datacenter se defectează? Providerul cloud (AWS), deoarece face parte din responsabilitatea sa de a menține disponibilitatea și integritatea infrastructurii de bază.

Exercițiu

Deschide consola AWS și creează un nou bucket S3. Încearcă să îl faci public și observă avertismentele de securitate. Apoi, șterge permisiunile publice și activezi versiunile de obiecte. Documentează pașii necesari pentru a restricționa accesul doar la o anumită adresă IP, simulând o politică de securitate strictă pentru date sensibile.