Il modello di responsabilità condivisa

La sicurezza su AWS parte dallo Shared Responsibility Model: AWS è responsabile della sicurezza del cloud (hardware, infrastruttura fisica, rete, hypervisor), mentre il cliente è responsabile della sicurezza nel cloud (dati, configurazione, gestione delle identità, patching del sistema operativo sulle istanze). La ripartizione cambia in base al servizio: con Amazon S3 o servizi managed come AWS Lambda, AWS gestisce molto di più; con un’istanza Amazon EC2 il cliente gestisce OS e applicazioni. Capire “chi fa cosa” è centrale nell’esame.

Le security best practice foundational ruotano attorno a AWS IAM: applicare il principle of least privilege, preferire gli IAM role alle long-term access key, non usare mai l’utente root per le operazioni quotidiane e attivare la MFA su root e sugli utenti privilegiati. Il root account va protetto e messo da parte.

Protezione dagli attacchi: Shield, WAF, GuardDuty

AWS Shield protegge dagli attacchi DDoS. Shield Standard è incluso senza costi aggiuntivi per tutti i clienti e copre gli attacchi più comuni a livello di rete e trasporto. Shield Advanced è a pagamento e aggiunge detection avanzata, accesso al DDoS Response Team e cost protection contro i costi generati da un attacco.

AWS WAF (Web Application Firewall) filtra il traffico HTTP/HTTPS verso le applicazioni web, bloccando pattern come SQL injection e cross-site scripting tramite regole. Si associa a servizi come Amazon CloudFront, Application Load Balancer e Amazon API Gateway. Shield agisce sul volume degli attacchi DDoS; WAF sul contenuto delle richieste applicative: sono complementari.

Amazon GuardDuty è un servizio di threat detection che analizza in continuo log e attività (accessi anomali, comunicazioni verso IP malevoli, comportamenti sospetti). Non blocca il traffico: rileva e segnala le minacce. Va distinto da Amazon Inspector, che valuta vulnerabilità e configurazioni delle risorse.

Encryption e gestione delle chiavi

AWS KMS (Key Management Service) crea e gestisce le encryption key usate per cifrare i dati at rest in molti servizi (Amazon S3, Amazon EBS, Amazon RDS), permettendo di controllare chi può usare le chiavi e di tracciarne l’utilizzo. La cifratura in transito si ottiene invece con TLS. Regola pratica: i dati sensibili vanno cifrati sia at rest sia in transit, e KMS è il servizio di riferimento per la gestione delle chiavi.

Compliance e audit

AWS Artifact è il portale self-service da cui scaricare i report di compliance e gli attestati di AWS (per esempio ISO, SOC, PCI DSS). Serve a dimostrare agli auditor la conformità dell’infrastruttura AWS: non “rende conformi”, fornisce la documentazione delle certificazioni di AWS.

AWS CloudTrail registra le chiamate API e le azioni eseguite sull’account (chi ha fatto cosa, quando, da dove). È lo strumento per l’audit trail e le indagini di sicurezza: risponde alla domanda “chi ha eseguito questa azione?”.

AWS Config registra e valuta nel tempo la configurazione delle risorse, mostrando come sono cambiate e se rispettano le regole di compliance definite. Risponde a “com’è configurata questa risorsa e rispetta le policy?”. CloudTrail = azioni/eventi; Config = stato/configurazione: è la distinzione più insidiosa.

Utile riconoscere anche gli strumenti trasversali: Amazon CloudWatch per monitoring e metriche, AWS Trusted Advisor per le raccomandazioni (incluse quelle di sicurezza) e AWS Security Hub come vista aggregata dello stato di sicurezza. Ricorda infine che il passing score dell’esame è 700/1000.

Trappole tipiche d’esame

  • DDoS a costo zero → Shield Standard: è automatico e incluso; Shield Advanced è a pagamento e serve solo per detection avanzata e cost protection.
  • “Chi ha fatto questa azione sull’account?” → CloudTrail: traccia le API call. Se la domanda è “com’è configurata la risorsa e rispetta le policy?” la risposta è AWS Config.
  • Bloccare SQL injection / XSS → AWS WAF: non Shield (che è per i DDoS) e non GuardDuty (che rileva ma non blocca).
  • Scaricare report SOC/ISO/PCI per un auditor → AWS Artifact: non CloudTrail né Config, che riguardano il tuo account e non le certificazioni di AWS.
  • Threat detection intelligente → Amazon GuardDuty: rileva e allerta; se invece serve valutare vulnerabilità di EC2 o immagini è Amazon Inspector.
  • Patching dell’OS su EC2 → responsabilità del cliente: nello Shared Responsibility Model AWS protegge l’infrastruttura, non il sistema operativo guest.