Security Engineering on AWS — Defense-in-Depth, IAM, GuardDuty, Encryption

Der offizielle AWS-Kurs „Security Engineering on AWS" ist die mittlere Stufe nach AWS Security Essentials und bereitet auf die AWS Certified Security Specialty (SCS-C02) vor. Tiefer als Essentials, mit Fokus auf Architektur und Implementation. Block Konzepte: Defense-in-Depth (mehrere Sicherheits-Layer), Zero Trust Architecture in AWS, AWS Well-Architected Security Pillar (7 Designprinzipien), Threat Modeling für AWS-Architekturen (STRIDE-Methode auf Cloud-Komponenten anwenden). Block Identity and Access Management (Deep Dive): IAM Policy-Sprache (Statements, Conditions mit Service-spezifischen Variablen, Policy Variables), Service Control Policies (SCPs) in AWS Organizations für Tenant-übergreifende Limits, Permissions Boundaries, IAM Roles for EC2/Lambda/ECS (Instance Profiles), Cross-Account-Access mit Resource-Based Policies und IAM-Roles, External ID für Cross-Account-Trust, IAM Identity Center (vormals AWS SSO) als zentrale Identity-Plattform, SAML- und OIDC-Federation. Block Detective Controls: CloudTrail (Multi-Region, Multi-Account, CloudTrail Lake für SQL-Queries), CloudWatch Logs (Log Groups, Subscription Filters, Metric Filters), AWS Config Rules und Conformance Packs, AWS Security Hub für Multi-Service-Findings-Aggregation, Amazon GuardDuty (Foundational und Protection Plans für S3, EKS, Lambda, RDS, EC2 Malware), Amazon Macie für PII-Discovery in S3, Amazon Detective für Investigation. Block Infrastructure Security: VPC Security (Security Groups vs. NACLs, VPC Flow Logs, Traffic Mirroring), AWS Network Firewall, AWS Shield Standard und Advanced (für DDoS), AWS WAF (Web ACLs, Rules, Rule Groups, Bot Control), CloudFront mit WAF für globale Edge-Security, AWS Firewall Manager für zentrale Verwaltung. Block Data Protection: AWS KMS in der Tiefe (Customer Managed Keys, AWS Managed Keys, AWS Owned Keys; Symmetric vs. Asymmetric; Cryptographic Operations, Envelope Encryption, Multi-Region Keys, Cross-Account Key Sharing), AWS CloudHSM für FIPS 140-3 Level 3-konforme Hardware-Security-Modules, AWS Certificate Manager (ACM) für SSL/TLS-Zertifikate, AWS Secrets Manager (automatische Rotation), AWS Systems Manager Parameter Store. Block S3 Security: Bucket Policies vs. IAM Policies vs. ACLs (deprecated), Block Public Access, S3 Encryption (SSE-S3, SSE-KMS, SSE-C, Client-side), VPC Endpoints für Private Access, Object Lock für WORM-Compliance, Access Points für strukturierte Zugriffe. Block Incident Response: AWS Incident Detection and Response, Automated Response mit EventBridge + Lambda + Step Functions, AWS Audit Manager für Continuous Compliance Audits, AWS Detective für Forensics, Disaster Recovery-Strategien.