51. Bảo vệ Dữ liệu, Ứng dụng, Hạ tầng trên AWS

Trong mô hình chia sẻ trách nhiệm, người dùng chịu trách nhiệm bảo mật trong đám mây (security IN the cloud), bao gồm bảo vệ dữ liệu, ứng dụng và cấu hình hạ tầng được triển khai. Hãy cùng tìm hiểu các dịch vụ giúp thực hiện mục tiêu này.

Trong bài này:

• 1. Macie - Bảo vệ Dữ liệu Nhạy cảm
• 2. Web Application Firewall (WAF)
• 3. AWS Shield - Chống DDoS
  • 3.1. Shield Standard
  • 3.2. Shield Advanced
• 4. GuardDuty - Phát hiện Nguy cơ
• 5. Inspector - Phát hiện Lỗ hổng Bảo mật
• 6. Trusted Advisor - Khuyến nghị
• 7. Câu hỏi Ôn tập
• Tài liệu tham khảo

1. Macie - Bảo vệ Dữ liệu Nhạy cảm

Macie là dịch vụ bảo vệ dữ liệu nhạy cảm (sensitive data), sử dụng Học Máy (Machine Learning) và so khớp mẫu (pattern matching) để xác định và phân loại dữ liệu nhạy cảm lưu trên S3, ví dụ như:

• Thông tin cá nhân có thể nhận dạng (Personal Identifiable Information - PII): tên, địa chỉ, số điện thoại, số CCCD, hộ chiếu, v.v.
• Dữ liệu tài chính (Financial Data): số thẻ tín dụng, số tài khoản ngân hàng, v.v.
• Mật khẩu, API Key, v.v.

Macie tự động quét các object trong tất cả bucket, phát hiện dữ liệu nhạy cảm và cung cấp báo cáo chi tiết (sensitive data finding) về loại dữ liệu, vị trí lưu trữ, và mức độ rủi ro. Finding có thể được đẩy sang EventBridge để tự động hóa việc xử lý tiếp theo (như gửi thông báo qua SNS, xoá dữ liệu, v.v).

Ngoài ra, Macie cũng giám sát S3 Bucket để phát hiện các cấu hình không an toàn, như đang ở chế độ public, không được mã hoá, các danh tính lạ có quyền truy cập, v.v. và cung cấp policy finding tương ứng.

2. Web Application Firewall (WAF)

WAF là dịch vụ tường lửa, hoạt động ở tầng ứng dụng (Layer 7 trong mô hính OSI), nghĩa là nó có thể nhìn thấy nội dung của các yêu cầu HTTP/HTTPS. WAF giúp bảo vệ ứng dụng khỏi các lỗ hổng bảo mật phổ biến như SQL Injection, Cross-site Scripting (XSS), HTTP Flood, và các bot tấn công làm tiêu tốn tài nguyên, gây gián đoạn dịch vụ hoặc có ý đồ xâm nhập dữ liệu.

Các thành phần chính:

• Web ACL (Web Access Control List): đơn vị làm việc chính của WAF, gắn vào các tài nguyên như CloudFront Distribution, Application Load Balancer, hay API Gateway để bảo vệ chúng. Với Load Balancer, do WAF hoạt động ở tầng ứng dụng, nên chỉ hỗ trợ Application Load Balancer. Trong Web ACL, ta định nghĩa các Rule và Action để xác định cách xử lý yêu cầu.
• Rule: tập hợp các tiêu chí để xác định một yêu cầu web có phải là tấn công hay không. Các tiêu chí phổ biến:
  • Mã độc: yêu cầu có chứa mã độc hại như SQL Injection, XSS, v.v. không.
  • Địa chỉ IP: địa chỉ IP của yêu cầu có nằm trong danh sách đen (blacklist) hoặc danh sách trắng (whitelist) không.
  • Vị trí địa lý: yêu cầu có đến từ các quốc gia bị chặn không.
  • Độ dài: kiểm tra độ dài của các thành phần như query string để chặn các yêu cầu dài bất thường.
  • WAF cũng hỗ trợ kết hợp nhiều tiêu chí bằng các toán tử logic (AND, OR, NOT) trong Rule.
• Action: hành động được thực hiện khi một yêu cầu khớp với các tiêu chí của Rule, bao gồm:
  • Block: chặn và trả về lỗi 403 (Forbidden).
  • Allow: cho phép đi qua mà không kiểm tra thêm.
  • Count: chỉ đếm số lần khớp với rule, không chặn, hữu ích để đánh giá hiệu quả của rule trước khi triển khai.
  • CAPTCHA: yêu cầu người dùng hoàn thành CAPTCHA để xác nhận họ không phải bot.

3. AWS Shield - Chống DDoS

Đây là dịch vụ chống lại DDoS (Distributed Denial of Service), là các cuộc tấn công nhằm mục đích gây gián đoạn dịch vụ bằng cách gây quá tải tài nguyên. Có 2 cấp độ dịch vụ:

3.1. Shield Standard

Shield Standard được tự động áp dụng cho tất cả tài khoản AWS, hoàn toàn miễn phí, không cần đăng ký.

Shield Standard hoạt động ở tầng mạng (Layer 3) và tầng truyền tải (Layer 4) trong mô hình OSI, chống lại các phương thức tấn công DDoS như SYN Flood, UDP Flood, UDP Reflection, v.v. Thường dùng để bảo vệ các dịch vụ như CloudFront, Route 53, hay Global Accelerator.

3.2. Shield Advanced

Tốn phí $3000/tháng (tại thời điểm viết bài), cung cấp các tính năng nâng cao như:

• Bảo vệ toàn diện hơn, gồm cả tầng ứng dụng (Layer 7) và các dịch vụ khác như ELB (cả ALB, NLB), EC2, v.v.
• Hỗ trợ phản ứng nhanh với các chuyên gia bảo mật của AWS DDoS Response Team (DRT) trong trường hợp bị tấn công quy mô lớn.
• Cung cấp báo cáo chi tiết về các cuộc tấn công, bao gồm loại tấn công, lưu lượng, nguồn gốc, v.v., giúp người dùng hiểu rõ hơn về mối đe dọa và cải thiện chiến lược bảo mật.
• DDoS Cost Protection: trong trường hợp bị tấn công DDoS quy mô lớn dẫn đến chi phí tăng đột biến do tài nguyên tự động mở rộng (như EC2 AutoScaling), AWS sẽ hoàn lại phần chi phí này.

4. GuardDuty - Phát hiện Nguy cơ

GuardDuty là dịch vụ phát hiện nguy cơ (threat detection), sử dụng Học Máy và phân tích hành vi để liên tục giám sát và phân tích các dữ liệu như:

• VPC Flow Logs: theo dõi lưu lượng mạng ra vào VPC, phát hiện các hoạt động bất thường như quét cổng, kết nối đến địa chỉ IP độc hại, v.v.
• CloudTrail Event: theo dõi xem ai đang gọi API gì, phát hiện các hoạt động đáng ngờ như đăng nhập thất bại nhiều lần, thay đổi cấu hình bảo mật, v.v.
• DNS Log: theo dõi các truy vấn DNS, cảnh báo nếu kết nối đến tên miền độc hại, v.v.
• Các nguồn dữ liệu khác như ổ EBS, RDS, Runtime Monitoring Log của Lambda, EC2 Instance, EKS, v.v.

GuardDuty thường được kết hợp với các dịch vụ khác để tự động phản ứng khi phát hiện nguy cơ. Finding của GuardDuty được đưa đến EventBridge như một sự kiện, rồi được sử dụng để gửi thông báo qua SNS, hay kích hoạt Lambda Function thực hiện các hành động khắc phục, v.v.

5. Inspector - Phát hiện Lỗ hổng Bảo mật

GuardDuty giám sát hạ tầng và hành vi để phát hiện nguy cơ, còn Inspector tập trung vào việc quét lỗ hổng bảo mật (vulnerability) trong:

• Phần mềm và hệ điều hành cài đặt trên EC2 Instance, bao gồm CVE (Common Vulnerabilities and Exposures), và các thông số CIS (Center for Internet Security).
• Container Image được lưu trữ trong ECR hoặc đang chạy trên EKS.
• Lambda Function: quét mã nguồn và các thư viện phụ thuộc.
• Network Reachability: xem có lỗ hổng mạng nào dẫn đến việc truy cập trái phép vào tài nguyên không.

Giống như GuardDuty hay Macie, khi phát hiện lỗ hổng, Inspector sẽ tạo ra một Finding chi tiết về lỗ hổng đó, bao gồm mức độ nghiêm trọng, mô tả, và hướng dẫn khắc phục. Finding này cũng được đưa đến EventBridge để tự động hóa việc xử lý tiếp theo.

6. Trusted Advisor - Khuyến nghị

Dịch vụ này giúp tối ưu hạ tầng bằng cách so sánh cấu hình hiện tại của bạn với các Best Practice được AWS khuyến nghị. Trusted Advisor quét toàn bộ tài khoản và cung cấp các check (kiểm tra) trong 5 danh mục chính:

• Chi phí: phát hiện các tài nguyên đang sử dụng không hiệu quả, có thể loại bỏ để tiết kiệm chi phí.
• Bảo mật: kiểm tra các cấu hình bảo mật của các dịch vụ như IAM, S3, Security Group, v.v. để phát hiện các vấn đề tiềm ẩn.
• Hiệu năng: với các dịch vụ như EC2, RDS, v.v. đưa ra khuyến nghị nếu cần nâng cấp loại Instance để cải thiện hiệu năng.
• Khả năng chịu lỗi (Fault Tolerance): các khuyến nghị để tăng tính khả dụng và khả năng chịu lỗi của hạ tầng.
• Giới hạn dịch vụ: cảnh báo nếu đang sử dụng gần đến giới hạn AWS cho phép của một dịch vụ nào đó.

7. Câu hỏi Ôn tập

Tài liệu tham khảo

1. Giới thiệu về Macie
2. Cách Hoạt động của WAF
3. WAF Rule
4. Action trong WAF Rule
5. Shield Standard
6. Shield Advanced
7. Amazon GuardDuty
8. Amazon Inspector
9. Trusted Advisor

Trên đây là những dịch vụ chính giúp bảo vệ dữ liệu, ứng dụng và hạ tầng trên AWS. Trong giới hạn các kỳ thi chứng chỉ, nhiêu đây là đủ để trả lời đúng các câu hỏi liên quan. Bạn đọc chỉ cần nhớ được mục đích chính của từng dịch vụ.