Protejează utilizatorul root cu MFA și nu-l folosi zilnic

Această practică se bazează pe principiul privilegiului minim, esențial în securitatea cloud. Contul root deține control total asupra întregului cont AWS, inclusiv accesul la datele financiare și ștergerea infrastructurii. Dacă acest cont este compromis, atacatorul poate distruge totul fără oprire, iar MFA-ul adaugă un strat critic de protecție împotriva furtului de credențiale. Ignorarea acestui sfat îți expune afacerea la riscuri majore de siguranță a datelor și pierderi financiare directe.

Cum o aplici

1. Activează MFA: Accesează consola IAM, selectează contul root și activează autentificarea multifactor. Folosește o aplicație authenticator (ex: Google Authenticator) sau un dispozitiv hardware FIDO2/U2B, evitând SMS-ul dacă este posibil.
2. Creează un administrator dedicat: Creează un nou utilizator IAM cu permisiunile AdministratorAccess. Acesta va fi contul tău zilnic.
3. Restricționează accesul root: În setările contului, dezactivează accesul la console pentru root ori de câte ori este posibil, sau asigură-te că nu ai niciodată sesiuni deschise cu el.
4. Stochează credențialele în siguranță: Salvează cheile de acces ale contului root într-un manager de parole securizat, nu în cod sursă sau pe desktop.

Exemplu

Varianta incorectă implică utilizarea contului root pentru operațiuni zilnice, cum ar fi lansarea unui server EC2 sau configurarea unei baze de date.

# GREȘIT: Folosirea contului root pentru comenzi obișnuite
aws ec2 describe-instances --profile root-user-profile

Varianta corectă folosește un profil IAM dedicat, protejat de MFA la logare, dar cu permisiuni limitate strict la ceea ce este necesar.

# CORECT: Utilizarea unui profil IAM administrativ standard
aws ec2 describe-instances --profile admin-john-doe

De asemenea, poți restricționa accesul la console prin politici IAM care blochează acțiunile root în afara unor acțiuni critice specifice (cum ar fi modificarea plăților), forțând utilizarea conturilor IAM pentru restul operațiunilor.

Cum verifici

Verifică dacă MFA este activat pentru contul root din secțiunea "Security credentials" a contului tău. Asigură-te că nu există chei de acces active pentru root în IAM, decât dacă sunt absolut necesare pentru anumite servicii legacy, caz în care trebuie rotite frecvent. Utilizează AWS Config pentru a monitoriza dacă cineva încearcă să utilizeze contul root pentru acțiuni neautorizate.

Greșeli frecvente

• Dependența exclusivă de MFA: MFA protejează împotriva accesului neautorizat, dar nu te scutește de a nu folosi contul root pentru task-uri riscante. Chiar și cu MFA, un atacator care obține parola și token-ul are control total.
• Uitarea de a crea un administrator alternativ: Mulți utilizatori activează MFA pentru root, dar uită să creeze un cont IAM administrativ, rămânând blocați sau tentati să folosească root-ul din comoditate.
• Salvarea credențialelor root în cod: Plasarea cheilor de acces root în fișierele .env sau în depozitele Git este o greșeală critică care anulează orice altă măsură de securitate.