Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
SEC08-BP04 Menerapkan kontrol akses
Untuk membantu melindungi data diam, terapkan kontrol akses menggunakan mekanisme, seperti isolasi dan penentuan versi. Terapkan hak akses paling rendah dan kontrol akses bersyarat. Cegah pemberian akses publik ke data Anda.
Hasil yang diinginkan: Anda memverifikasi bahwa hanya pengguna yang berwenang saja yang dapat mengakses data berdasarkan kebutuhan untuk mengetahui. Anda melindungi data Anda dengan pencadangan dan penentuan versi rutin untuk mencegah pengubahan atau penghapusan data yang disengaja atau tidak disengaja. Anda mengisolasi data penting dari data lain untuk melindungi kerahasiaan dan integritas data tersebut.
Anti-pola umum:
-
Menyimpan data dengan kebutuhan atau klasifikasi sensitivitas yang berbeda secara bersamaan.
-
Menggunakan izin yang terlalu permisif pada kunci dekripsi.
-
Salah mengklasifikasi data.
-
Tidak menyimpan pencadangan terperinci untuk data penting.
-
Memberikan akses terus-menerus ke data produksi.
-
Tidak mengaudit akses data atau meninjau izin secara rutin.
Tingkat risiko yang terjadi jika praktik terbaik ini tidak diterapkan: Tinggi
Panduan implementasi
Melindungi data diam penting untuk menjaga integritas, kerahasiaan, dan kepatuhan data terhadap persyaratan peraturan. Anda dapat menerapkan beberapa kontrol untuk membantu mencapai hal ini, termasuk kontrol akses, isolasi, akses bersyarat, dan penentuan versi.
Anda dapat memberlakukan kontrol akses dengan prinsip hak akses paling rendah, yang hanya memberikan izin yang diperlukan kepada pengguna dan layanan untuk melakukan tugasnya. Ini termasuk akses ke kunci enkripsi. Tinjau kebijakan AWS Key Management Service (AWS KMS) Anda untuk memverifikasi bahwa tingkat akses yang Anda berikan sudah sesuai dan ketentuan yang relevan berlaku.
Anda dapat memisahkan data berdasarkan tingkat klasifikasi yang berbeda-beda dengan menggunakan Akun AWS khusus untuk setiap tingkat, dan mengelola akun ini menggunakan AWS Organizations. Isolasi ini dapat membantu mencegah akses yang tidak sah dan meminimalkan risiko paparan data.
Tinjau tingkat akses yang diberikan dalam kebijakan bucket S3 secara rutin. Hindari menggunakan bucket yang dapat dibaca atau ditulis secara publik kecuali jika benar-benar diperlukan. Pertimbangkan untuk menggunakan AWS Config untuk mendeteksi bucket yang tersedia secara publik dan Amazon CloudFront untuk menyajikan konten dari Amazon S3. Pastikan bucket yang seharusnya tidak mengizinkan akses publik telah dikonfigurasi dengan benar untuk mencegahnya.
Terapkan mekanisme penentuan versi dan penguncian objek untuk data penting yang disimpan di Amazon S3. Penentuan versi Amazon S3 mempertahankan versi objek sebelumnya untuk memulihkan data dari penghapusan atau penimpaan yang tidak disengaja. Kunci Objek Amazon S3 menyediakan kontrol akses wajib untuk objek, yang mencegahnya dihapus atau ditimpa, bahkan oleh pengguna root, hingga kunci ini kedaluwarsa. Selain itu, Kunci Vault Amazon S3 Glacier menawarkan fitur serupa untuk arsip yang disimpan di Amazon S3 Glacier.
Langkah-langkah implementasi
-
Berlakukan kontrol akses dengan prinsip hak akses paling rendah:
-
Tinjau izin akses yang diberikan kepada pengguna dan layanan, dan verifikasi bahwa izin tersebut memang diperlukan untuk melakukan tugasnya.
-
Tinjau akses ke kunci enkripsi dengan memeriksa kebijakan AWS Key Management Service (AWS KMS).
-
-
Pisahkan data berdasarkan tingkat klasifikasi yang berbeda-beda:
-
Gunakan Akun AWS khusus untuk setiap tingkat klasifikasi data.
-
Kelola akun ini menggunakan AWS Organizations.
-
-
Tinjau izin bucket dan objek Amazon S3:
-
Tinjau tingkat akses yang diberikan dalam kebijakan bucket S3 secara rutin.
-
Hindari menggunakan bucket yang dapat dibaca atau ditulis secara publik kecuali jika benar-benar diperlukan.
-
Pertimbangkan untuk menggunakan AWS Config guna mendeteksi bucket yang tersedia untuk umum.
-
Gunakan Amazon CloudFront untuk menyajikan konten dari Amazon S3.
-
Pastikan bucket yang seharusnya tidak mengizinkan akses publik telah dikonfigurasi dengan benar untuk mencegahnya.
-
Anda dapat menerapkan proses peninjauan yang sama untuk basis data dan sumber data lain yang menggunakan autentikasi IAM, seperti SQS atau penyimpanan data pihak ketiga.
-
-
Gunakan AWS IAM Access Analyzer:
-
Anda dapat mengonfigurasi AWS IAM Access Analyzer] (https://docs.aws.amazon.com/IAM/latest/UserGuide/what-is-access-analyzer.html) untuk menganalisis bucket Amazon S3 dan menghasilkan temuan jika kebijakan S3 memberikan akses ke entitas eksternal.
-
-
Terapkan mekanisme penentuan versi dan penguncian objek:
-
Gunakan penentuan versi Amazon S3 untuk mempertahankan versi objek sebelumnya, yang menyediakan pemulihan dari penghapusan atau penimpaan yang tidak disengaja.
-
Gunakan Kunci Objek Amazon S3 untuk menyediakan kontrol akses wajib untuk objek, yang mencegahnya dihapus atau ditimpa, bahkan oleh pengguna root, hingga kunci ini kedaluwarsa.
-
Gunakan Kunci Vault Amazon S3 Glacier untuk arsip yang disimpan di Amazon S3 Glacier.
-
-
Gunakan Inventaris Amazon S3:
-
Gunakan Inventaris Amazon S3 untuk mengaudit dan melaporkan replikasi dan status enkripsi objek S3 Anda.
-
-
Tinjau izin berbagi Amazon EBS dan AMI:
-
Tinjau izin berbagi Anda untuk Amazon EBS dan berbagi AMI untuk memastikan image dan volume Anda tidak dibagikan ke Akun AWS di luar beban kerja Anda.
-
-
Tinjau Pembagian AWS Resource Access Manager secara berkala:
-
Anda dapat menggunakan AWS Resource Access Manager untuk membagikan sumber daya, seperti kebijakan AWS Network Firewall, aturan Amazon Route 53 Resolver, dan subnet dalam Amazon VPC Anda.
-
Lakukan audit terhadap sumber daya yang dibagikan secara rutin dan hentikan pembagian sumber daya yang sudah tidak perlu dibagikan.
-
Sumber daya
Praktik-praktik terbaik terkait:
Dokumen terkait:
Video terkait:
