# Keamanan Pilar Keamanan berkenaan dengan kemampuan untuk melindungi data, sistem, dan aset untuk memanfaatkan teknologi cloud guna meningkatkan keamanan Anda. Pilar keamanan memberikan ikhtisar prinsip desain, praktik terbaik, dan pertanyaan. Anda dapat menemukan panduan preskriptif tentang implementasi di [laporan resmi Pilar Keamanan](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/welcome.html?ref=wellarchitected-wp). **Topics** + [Prinsip desain](sec-design.md) + [Definisi](sec-def.md) + [Praktik terbaik](sec-bp.md) + [Sumber daya](sec-resources.md) # Prinsip desain Terdapat tujuh prinsip desain untuk keamanan di cloud: + **Mengimplementasikan landasan identitas yang kuat**: Implementasikan prinsip hak akses paling rendah dan berlakukan pemisahan tugas dengan otorisasi yang sesuai untuk setiap interaksi dengan sumber daya AWS Anda. Pusatkan manajemen identitas, dan targetkan untuk tidak bergantung pada kredensial statis jangka panjang. + **Aktifkan keterlacakan**: Pantau, munculkan peringatan, dan audit tindakan serta perubahan dalam lingkungan Anda secara waktu nyata. Integrasikan pengumpulan log dan metrik dengan sistem agar dapat bertindak berdasarkan investigasi yang berjalan otomatis. + **Menerapkan keamanan di semua lapisan**: Terapkan pertahanan secara mendalam dengan banyak kontrol keamanan. Terapkan ke semua lapisan (misalnya, edge jaringan, VPC, penyeimbangan beban, setiap layanan komputasi dan instans, sistem operasi, aplikasi, dan kode). + **Mengotomatiskan praktik terbaik keamanan**: Mekanisme keamanan berbasis perangkat lunak otomatis meningkatkan kemampuan Anda untuk meningkatkan skala dengan lebih cepat, hemat biaya, dan aman. Ciptakan arsitektur yang aman, termasuk implementasi kontrol yang ditentukan dan dikelola sebagai kode dalam templat yang dikontrol versi. + **Melindungi data bergerak dan data diam**: Klasifikasikan data sesuai tingkatan sensitivitasnya dan gunakan mekanisme, seperti enkripsi, tokenisasi, dan kontrol akses jika sesuai. + **Minimalkan campur tangan manusia dari data**: Gunakan mekanisme dan alat untuk mengurangi atau meniadakan akses langsung atau pemrosesan data secara manual. Ini akan mengurangi risiko kekeliruan atau perubahan dan kesalahan manusia dalam penanganan data sensitif. + **Bersiap untuk peristiwa keamanan**: Bersiaplah menghadapi insiden dengan membentuk manajemen insiden serta proses dan kebijakan investigasi yang selaras dengan kebutuhan organisasi Anda. Jalankan simulasi respons insiden dan gunakan alat dengan otomatisasi untuk mempercepat deteksi, investigasi, dan pemulihan. # Definisi Terdapat enam area praktik terbaik untuk keamanan di cloud: + **Keamanan** + **Identity and Access Management** + **Deteksi** + **Perlindungan Infrastruktur** + **Perlindungan Data** + **Respons Insiden** Sebelum merancang beban kerja, Anda harus menerapkan praktik yang berpengaruh terhadap keamanan. Tentukan peran untuk setiap orang. Selain itu, Anda perlu mengidentifikasi insiden keamanan, melindungi sistem dan layanan Anda, serta menjaga kerahasiaan dan integritas data melalui perlindungan data. Anda harus memiliki proses yang terdefinisi dengan baik dan dapat dipraktikkan untuk merespons insiden keamanan. Alat dan teknik ini penting karena dapat mendukung tujuan seperti mencegah kerugian finansial atau mematuhi peraturan yang berlaku. Model Tanggung Jawab Bersama AWS memungkinkan organisasi yang mengadopsi cloud untuk mencapai tujuan keamanan dan kepatuhan. AWS mengamankan fisik infrastruktur yang mendukung layanan cloud kami, sehingga sebagai pelanggan AWS Anda dapat berfokus pada penggunaan layanan untuk mencapai tujuan Anda. AWS Cloud juga menyediakan akses yang lebih luas ke data keamanan serta pendekatan otomatis untuk merespons peristiwa keamanan. # Praktik terbaik **Topics** + [Keamanan](sec-security.md) + [Manajemen identitas dan akses](sec-iam.md) + [Deteksi](sec-detection.md) + [Perlindungan infrastruktur](sec-infrastructure.md) + [Perlindungan data](sec-dataprot.md) + [Respons insiden](sec-incresp.md) # Keamanan Untuk mengoperasikan beban kerja dengan aman, Anda harus menerapkan praktik terbaik yang menyeluruh ke setiap area keamanan. Pilih persyaratan dan proses yang telah Anda tetapkan dalam keunggulan operasional pada tingkat organisasi dan beban kerja, lalu terapkan ke semua area. Dengan terus mengikuti rekomendasi terbaru dari AWS dan industri serta kecerdasan ancaman, Anda dapat mengembangkan model ancaman dan tujuan kontrol. Mengotomatiskan proses keamanan, pengujian, dan validasi dapat membantu menskalakan operasi keamanan. Pertanyaan berikut ini berfokus pada semua pertimbangan untuk keamanan ini. (Untuk melihat daftar pertanyaan dan praktik terbaik keamanan, buka [Lampiran](a-security.md).). | BAG 1:  Bagaimana cara mengoperasikan beban kerja dengan aman? | | --- | | Untuk mengoperasikan beban kerja dengan aman, Anda harus menerapkan praktik terbaik yang menyeluruh ke setiap area keamanan. Pilih persyaratan dan proses yang telah Anda tetapkan dalam keunggulan operasional pada tingkat organisasi dan beban kerja, lalu terapkan ke semua area. Dengan terus mengikuti rekomendasi terbaru dari AWS, sumber industri, serta kecerdasan ancaman, Anda dapat mengembangkan model ancaman dan tujuan kontrol. Mengotomatiskan proses keamanan, pengujian, dan validasi dapat membantu menskalakan operasi keamanan. | Di AWS, kami menyarankan untuk memisahkan beban kerja per akun berdasarkan fungsi dan persyaratan kepatuhan atau sensitivitas data. # Manajemen identitas dan akses Manajemen identitas dan akses adalah bagian penting dari program keamanan informasi, memastikan bahwa hanya pengguna dan komponen yang sah dan diautentikasi yang dapat mengakses sumber daya Anda, dan hanya melalui cara yang Anda izinkan. Misalnya, Anda harus menentukan prinsipal (yaitu, akun, pengguna, peran, dan layanan yang dapat melakukan tindakan di akun Anda), membuat kebijakan yang selaras dengan prinsipal ini, dan menerapkan manajemen kredensial yang kuat. Elemen manajemen hak istimewa ini membentuk inti autentikasi dan otorisasi. Di AWS, manajemen hak istimewa utamanya didukung oleh layanan AWS Manajemen Identitas dan Akses (IAM), yang dapat Anda gunakan untuk mengontrol akses program dan pengguna ke layanan dan sumber daya AWS. Anda harus menerapkan kebijakan yang terperinci, yang memberikan izin kepada pengguna, grup, peran, atau sumber daya. Anda juga dapat mewajibkan penggunaan kata sandi yang kuat, seperti tingkat kesulitan, agar kata sandi tidak digunakan kembali, dan menerapkan autentikasi multi-faktor (MFA). Anda dapat menggunakan federasi dengan layanan direktori yang ada. Untuk beban kerja yang mengharuskan sistem untuk mengakses AWS, IAM memberikan akses aman melalui peran, profil instans, federasi identitas, dan kredensial sementara. Pertanyaan berikut ini berfokus pada pertimbangan untuk keamanan ini. | BAG 2:  Bagaimana cara mengelola identitas untuk orang dan mesin? | | --- | | Ada dua jenis identitas yang harus Anda kelola ketika mengoperasikan beban kerja AWS yang aman. Memahami jenis identitas yang perlu Anda kelola dan Anda beri akses akan membantu Anda memastikan bahwa suatu identitas dapat mengakses sumber daya yang tepat dalam kondisi yang tepat. Identitas Manusia: Administrator, developer, operator, serta pengguna akhir Anda memerlukan identitas untuk mengakses lingkungan dan aplikasi AWS. Ini adalah anggota organisasi Anda, atau pengguna eksternal yang berkolaborasi dengan Anda, dan yang berinteraksi dengan sumber daya AWS Anda melalui browser web, aplikasi klien, atau alat baris perintah interaktif. Identitas Mesin: Aplikasi layanan, alat operasional, dan beban kerja Anda memerlukan identitas untuk membuat permintaan ke layanan AWS, misalnya, untuk membaca data. Identitas ini mencakup mesin yang berjalan di lingkungan AWS Anda, seperti instans Amazon EC2 atau fungsi AWS Lambda. Anda juga dapat mengelola identitas mesin untuk pihak eksternal yang membutuhkan akses. Selain itu, Anda mungkin juga memiliki mesin di luar AWS yang memerlukan akses ke lingkungan AWS Anda. | | BAG 3:  Bagaimana cara mengelola izin untuk orang dan mesin? | | --- | | Kelola izin untuk mengontrol akses untuk identitas orang dan mesin yang memerlukan akses ke AWS dan beban kerja Anda. Izin mengontrol cakupan dan ketentuan akses seseorang. | Kredensial tidak boleh dibagikan ke pengguna atau sistem lain. Akses pengguna harus diberikan menggunakan pendekatan hak akses paling rendah dan praktik terbaik, termasuk wajib menggunakan kata sandi dan MFA. Akses program, termasuk panggilan API ke layanan AWS harus dilakukan menggunakan kredensial sementara dengan hak istimewa terbatas seperti yang dikeluarkan oleh AWS Security Token Service. AWS menyediakan sumber daya yang dapat membantu mengelola manajemen identitas dan akses. Untuk membantu mempelajari praktik terbaik, jelajahi lab langsung kami tentang [mengelola kredensial & autentikasi](https://wellarchitectedlabs.com/Security/Quest_Managing_Credentials_and_Authentication/README.html?ref=wellarchitected-wp), [mengontrol akses manusia](https://wellarchitectedlabs.com/Security/Quest_Control_Human_Access/README.html?ref=wellarchitected-wp), dan [mengontrol akses terprogram](https://wellarchitectedlabs.com/Security/Quest_Control_Programmatic_Access/README.html?ref=wellarchitected-wp). # Deteksi Anda dapat menggunakan kontrol deteksi untuk mengidentifikasi potensi ancaman atau insiden keamanan. Ini merupakan bagian yang sangat penting dalam kerangka kerja tata kelola dan dapat digunakan untuk mendukung proses yang berkualitas, kewajiban kepatuhan atau hukum, serta upaya identifikasi dan respons terhadap ancaman. Ada beberapa jenis kontrol deteksi. Misalnya, melakukan inventarisasi aset dan detail atributnya mendorong pengambilan keputusan (dan kontrol siklus hidup) yang lebih efektif untuk membantu menetapkan dasar operasional. Anda juga dapat menggunakan audit internal, pemeriksaan kontrol yang terkait dengan sistem informasi, untuk memastikan bahwa praktik telah memenuhi kebijakan serta persyaratan dan bahwa Anda telah menetapkan notifikasi peringatan otomatis sesuai kondisi yang ditentukan. Kontrol ini merupakan faktor reaktif penting yang dapat membantu organisasi Anda mengidentifikasi dan memahami cakupan aktivitas anomali. Di AWS, Anda dapat menerapkan kontrol deteksi dengan memproses log, peristiwa, dan pemantauan yang memungkinkan audit, analisis otomatis, dan peringatan. Log CloudTrail, panggilan API AWS, serta CloudWatch menyediakan pemantauan metrik dengan memberikan peringatan, dan AWS Config menyediakan riwayat konfigurasi. Amazon GuardDuty adalah layanan deteksi ancaman terkelola yang terus memantau aktivitas berbahaya atau tidak sah untuk membantu melindungi akun dan beban kerja AWS Anda. Log tingkat layanan juga tersedia, misalnya, Anda dapat menggunakan Amazon Simple Storage Service (Amazon S3) untuk membuat log permintaan akses. Pertanyaan berikut ini berfokus pada semua pertimbangan untuk keamanan ini. | BAG 4:  Bagaimana cara mendeteksi dan menyelidiki peristiwa keamanan? | | --- | | Catat dan analisis peristiwa dari log dan metrik untuk mendapatkan visibilitas. Ambil tindakan atas peristiwa keamanan dan potensi ancaman untuk membantu mengamankan beban kerja Anda. | Manajemen log sangat penting dalam beban kerja Well-Architected. Mulai dari untuk alasan keamanan atau forensik, hingga persyaratan hukum atau regulasi. Anda harus menganalisis log dan meresponsnya agar Anda dapat mengidentifikasi potensi insiden keamanan. AWS menyediakan fungsionalitas yang memudahkan manajemen log dengan memberikan kemampuan untuk menentukan siklus hidup retensi data atau menentukan tempat penyimpanan, pengarsipan, dan penghapusan data. Hal ini memudahkan penanganan data yang dapat diprediksi, andal, dan lebih hemat biaya. # Perlindungan infrastruktur Perlindungan infrastruktur berkenaan dengan metodologi kontrol, seperti pertahanan mendalam, yang diperlukan untuk memenuhi praktik terbaik dan kewajiban organisasi atau peraturan. Penggunaan metodologi ini vital untuk keberhasilan dan keberlangsungan operasi, baik di cloud maupun on-premise. Di AWS, Anda dapat menerapkan stateful dan stateless packet inspection, baik menggunakan teknologi AWS maupun produk dan layanan partner yang tersedia melalui AWS Marketplace. Anda harus menggunakan Amazon Virtual Private Cloud (Amazon VPC) untuk membuat lingkungan privat yang aman dan dapat diskalakan guna menentukan topologi—termasuk gateway, tabel perutean, serta subnet publik dan privat. Pertanyaan berikut ini berfokus pada pertimbangan untuk keamanan ini. | BAG 5:  Bagaimana cara melindungi sumber daya jaringan? | | --- | | Setiap beban kerja yang memiliki konektivitas jaringan, baik internet maupun jaringan privat, memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal di jaringan. | | BAG 6:  Bagaimana cara melindungi sumber daya komputasi? | | --- | | Sumber daya komputasi di beban kerja Anda memerlukan beberapa lapisan pertahanan untuk membantu melindungi dari ancaman eksternal dan internal. Sumber daya komputasi meliputi instans EC2, kontainer, fungsi AWS Lambda, layanan basis data, perangkat IoT, dan banyak lagi. | Sangat disarankan untuk memberikan banyak lapisan keamanan di semua jenis lingkungan. Untuk perlindungan infrastruktur, banyak konsep dan metode yang dapat digunakan untuk model cloud dan on-premise. Menerapkan perlindungan batas, memantau titik masuk dan keluar, serta pencatatan log, pemantauan, dan peringatan yang komprehensif sangat penting dalam rencana keamanan informasi yang efektif. Pelanggan AWS dapat menyesuaikan atau memperkuat konfigurasi Amazon Elastic Compute Cloud (Amazon EC2), kontainer Amazon Elastic Container Service (Amazon ECS), atau instans AWS Elastic Beanstalk, dan menyimpan konfigurasi ini ke Amazon Machine Image (AMI) tetap. Kemudian, saat dipicu oleh Auto Scaling atau diluncurkan secara manual, semua server virtual (instans) baru yang diluncurkan dengan AMI ini menerima konfigurasi yang diperkuat ini. # Perlindungan data Sebelum merancang sistem apa pun, praktik dasar yang memengaruhi keamanan harus diterapkan. Misalnya, klasifikasi data menjadi cara untuk mengategorikan data organisasi berdasarkan tingkat sensitivitas, dan enkripsi melindungi data dengan membuatnya tidak dapat dikenali oleh akses tidak sah. Alat dan teknik ini penting karena dapat mendukung tujuan seperti mencegah kerugian finansial atau mematuhi peraturan yang berlaku. Berikut adalah praktik yang mendukung perlindungan data di AWS: + Sebagai pelanggan AWS, kontrol data sepenuhnya berada di tangan Anda. + AWS memudahkan enkripsi data dan pengelolaan kunci, termasuk rotasi kunci rutin yang dapat dengan mudah diotomatiskan oleh AWS atau Anda kelola sendiri. + Tersedia log mendetail yang berisi konten penting seperti perubahan dan akses file. + AWS telah mendesain sistem penyimpanan yang sangat tangguh. Contohnya, Amazon S3 Standard, S3 Standard–IA, S3 One Zone-IA, dan Amazon Glacier didesain untuk memberikan 99,999999999% ketahanan objek dalam setahun. Tingkat ketahanan ini sesuai dengan perkiraan rata-rata penurunan tahunan pada objek sebesar 0,000000001%. + Versioning, yang dapat menjadi bagian dari proses pengelolaan siklus hidup data yang lebih besar, dapat melindungi dari penimpaan, penghapusan, dan kerusakan serupa yang tidak disengaja. + AWS tidak pernah memindahkan data dari satu Wilayah ke Wilayah lain. Konten yang ditempatkan pada suatu Wilayah tidak akan berpindah kecuali Anda mengaktifkan fitur atau menggunakan layanan untuk memindahkannya. Pertanyaan berikut ini berfokus pada pertimbangan untuk keamanan ini. | BAG 7:  Bagaimana cara mengklasifikasikan data? | | --- | | Klasifikasi menjadi cara untuk mengategorikan data berdasarkan tingkat kepentingan dan sensitivitas untuk membantu Anda menentukan kontrol retensi dan perlindungan yang sesuai. | | BAG 8:  Bagaimana cara melindungi data diam? | | --- | | Lindungi data diam dengan mengimplementasikan beberapa kontrol untuk mengurangi risiko akses tidak sah atau kesalahan penanganan. | | BAG 9:  Bagaimana cara melindungi data bergerak? | | --- | | Lindungi data bergerak dengan mengimplementasikan beberapa kontrol untuk mengurangi risiko akses tidak sah atau kehilangan data. | AWS menyediakan banyak alat untuk mengenkripsi data diam dan bergerak. Kami menyertakan fitur-fitur ke layanan kami yang mampu memudahkan enkripsi data. Sebagai contoh, kami telah menerapkan enkripsi di sisi server (SSE) untuk Amazon S3 guna memudahkan penyimpanan data yang dienkripsi. Anda juga dapat menyerahkan semua proses enkripsi dan pembatalan enkripsi HTTPS (dikenal sebagai penghentian SSL) kepada Elastic Load Balancing (ELB). # Respons insiden Dengan kontrol deteksi dan preventif yang sangat matang sekalipun, organisasi Anda harus tetap menyiapkan proses untuk merespons dan memitigasi potensi dampak insiden keamanan. Arsitektur beban kerja sangat berpengaruh pada kemampuan tim Anda untuk beroperasi secara efektif selama insiden, untuk mengisolasi atau membatasi sistem, serta untuk memulihkan operasi ke kondisi yang baik. Menetapkan alat dan akses sebelum terjadi insiden keamanan, lalu secara rutin melatih respons insiden melalui game day akan membantu memastikan bahwa arsitektur Anda dapat melakukan penyelidikan dan pemulihan tepat waktu. Berikut praktik yang mendukung respons insiden yang efektif di AWS: + Tersedia log mendetail yang berisi konten penting seperti perubahan dan akses file. + Peristiwa dapat diproses secara otomatis dan memicu alat yang mengotomatiskan respons melalui penggunaan API AWS. + Anda dapat membuat “clean room” dan alat terlebih dahulu menggunakan AWS CloudFormation. Dengan demikian, Anda dapat melakukan forensik di lingkungan yang aman dan terisolasi. Pertanyaan berikut ini berfokus pada semua pertimbangan untuk keamanan ini. | BAG 10:  Bagaimana cara mengantisipasi, merespons, dan pulih dari insiden? | | --- | | Persiapan sangat penting dalam penyelidikan, respons, dan pemulihan peristiwa keamanan yang tepat waktu dan efektif guna membantu meminimalkan gangguan terhadap organisasi Anda. | Pastikan Anda dapat dengan cepat memberikan akses untuk tim keamanan, dan mengotomatiskan isolasi instans serta pencatatan data status untuk forensik. # Sumber daya Lihat sumber daya berikut untuk mempelajari selengkapnya tentang praktik terbaik kami untuk Keamanan. ## Dokumentasi + [Keamanan AWS Cloud](https://aws.amazon.com/security/?ref=wellarchitected-wp) + [Kepatuhan AWS](https://aws.amazon.com/compliance/?ref=wellarchitected-wp) + [Blog Keamanan AWS](http://blogs.aws.amazon.com/security/?ref=wellarchitected-wp) ## Laporan Resmi + [Pilar Keamanan](https://docs.aws.amazon.com/wellarchitected/latest/security-pillar/welcome.html?ref=wellarchitected-wp) + [Ikhtisar Keamanan AWS](https://d1.awsstatic.com/whitepapers/Security/AWS%20Security%20Whitepaper.pdf?ref=wellarchitected-wp) + [Risiko dan Kepatuhan AWS](https://d1.awsstatic.com/whitepapers/compliance/AWS_Risk_and_Compliance_Whitepaper.pdf?ref=wellarchitected-wp) ## Video + [AWS Security State of the Union](https://youtu.be/Wvyc-VEUOns?ref=wellarchitected-wp) + [Ikhtisar Tanggung Jawab Bersama](https://www.youtube.com/watch?v=U632-ND7dKQ&ref=wellarchitected-wp)