c3.1 Diseñar una arquitectura segura
Diseñar una arquitectura segura significa hacer de la seguridad una parte deliberada del diseño —aplicando los principios de diseño de seguridad de AWS Well-Architected y usando la AWS Security Reference Architecture como plano de referencia— para que el propio diseño reduzca la superficie de ataque y limite el radio de impacto de cualquier brecha.
Guía de implementación
La seguridad es una decisión de diseño, no una ocurrencia tardía
La arquitectura es en sí misma un control de seguridad: un buen diseño reduce la superficie de ataque y el radio de impacto de un compromiso. "Diseñar una arquitectura segura" significa dos cosas concretas —seguir un conjunto de principios de diseño y construir sobre una arquitectura de referencia— en lugar de añadir controles después.
Aplique los principios de diseño de seguridad de Well-Architected
Base su diseño en los siete principios de diseño del pilar de Seguridad del AWS Well-Architected Framework:
- Base de identidad sólida: mínimo privilegio, separación de funciones, identidad centralizada, sin credenciales estáticas de larga duración.
- Mantener trazabilidad: monitorear, alertar y auditar acciones y cambios en tiempo real.
- Aplicar seguridad en todas las capas: defensa en profundidad en el borde, VPC, balanceador, instancia, SO, aplicación y código.
- Automatizar las buenas prácticas de seguridad: controles definidos y gestionados como código en plantillas versionadas.
- Proteger los datos en tránsito y en reposo: clasificar los datos y aplicar cifrado, tokenización y control de acceso.
- Mantener a las personas alejadas de los datos: reducir el acceso directo/manual a los datos para limitar el error humano.
- Prepararse para eventos de seguridad: procesos de gestión de incidentes, simulacros y automatización para detección y recuperación.
En la práctica esto se ve como: sin SSH/RDP expuestos (use Session/Fleet Manager), caminos de red de mínimo privilegio y security groups que se referencian entre sí en vez de abrir CIDRs, y múltiples zonas de disponibilidad para resiliencia.
Construya sobre una arquitectura de referencia
Use la AWS Security Reference Architecture (SRA) como el plano prescriptivo de cómo encajan los servicios de seguridad de AWS en una organización multi-cuenta. Diseñar contra una arquitectura de referencia le da un objetivo conocido y bueno contra el cual medir su diseño, en lugar de reinventarlo por proyecto.
Sepa qué está realmente corriendo
Un diseño solo es seguro si coincide con la realidad. Workload Discovery on AWS genera diagramas de arquitectura a partir de su infraestructura en vivo, ayudándole a revisar diseños, encontrar recursos shadow y exportar a formatos como draw.io.
Cómo validar
- ¿Las nuevas arquitecturas se revisan contra los principios de diseño del pilar de Seguridad de AWS Well-Architected antes de construir (por ejemplo mediante un Well-Architected review)?
- ¿Su diseño sigue la AWS Security Reference Architecture (SRA) para la ubicación de servicios multi-cuenta?
- ¿El diseño impone caminos de red de mínimo privilegio, sin puertos de administración expuestos, y resiliencia multi-AZ?
- ¿Los controles de seguridad se definen como código en plantillas versionadas en vez de configurarse a mano?
- ¿Mantiene una vista precisa y actualizada de lo que está realmente desplegado (incluyendo recursos shadow)?
Amenazas que atiende
- Un diseño con amplia alcanzabilidad de red y puertos de administración expuestos da al adversario acceso inicial fácil y espacio para moverse lateralmente, convirtiendo un solo punto de apoyo en un compromiso amplio.
- La seguridad añadida después de fijar el diseño tiende a dejar brechas caras de corregir más tarde, mientras que un diseño basado en principios y una arquitectura de referencia las previene desde el inicio.