Bezpečnostní modely v cloudu a jejich specifika
Cloudová prostředí (AWS, Azure, Google Cloud) nabízejí flexibilitu, škálovatelnost a standardizované bezpečnostní mechanismy, jejichž správné využití však vyžaduje odlišný přístup než v on-premise prostředí. Bezpečnost se přesouvá od perimetru k identitám, politikám a automatizaci. Cílem tohoto článku je systematicky popsat klíčové bezpečnostní modely a vzory, které zajišťují důvěrnost, integritu, dostupnost a soulady (compliance) v multicloudových architekturách.
Model sdílené odpovědnosti
Základním rámcem je model sdílené odpovědnosti: poskytovatel cloudu odpovídá za bezpečnost samotného cloudu (fyzická infrastruktura, hypervizor, základní služby), zákazník za bezpečnost v cloudu (konfigurace účtů, identit, dat, aplikací). V SaaS je odpovědnost zákazníka menší než v IaaS/PaaS, ale nikdy není nulová: zejména řízení přístupu, klasifikace dat a konfigurace zůstávají vždy na straně zákazníka.
Hierarchie zdrojů a izolační domény
- AWS: organizace → účty → regiony → VPC → zdroje. Oddělení workloadů do více účtů s centrálním řízením (SCP, AWS Organizations) minimalizuje blast radius.
- Azure: tenant → management groups → subscription → resource groups → zdroje. Governance přes Azure Policy a Blueprints (nyní součást policy/alignment) vynucuje standardy.
- Google Cloud: organizace → složky → projekty → zdroje. Organizační politiky a hierarchický firewall řídí chování napříč projekty.
Izolace napříč těmito úrovněmi je klíčová pro bezpečnost a dodržování předpisů; projekty/subscriptiony/účty definují hrubozrnnou izolaci a VPC/podsítě slouží jako jemnozrnná síťová doména.
Identity-first bezpečnost: IAM, RBAC/ABAC a oprávnění
- Role-Based Access Control (RBAC): předdefinované a vlastní role pro týmy (správa, DevOps, bezpečnost, audit).
- Attribute-Based Access Control (ABAC): politiky založené na štítcích/tagách (např. env=prod, pii=true) snižují množství rolí a zvyšují flexibilitu.
- Princip minimálních oprávnění: přidělujte least privilege na konkrétní zdroje a operace; používejte just-in-time zvýšení oprávnění (PIM/JIT) pro privilegované přístupy.
- Krátkodobá pověření: federace přes SAML/OIDC a STS tokeny (AWS STS, Azure AD tokens, GCP Service Account krátkodobé klíče) namísto dlouhodobých přístupových klíčů.
- Workload identity: vazba identity na workload (Kubernetes Service Account → cloud IAM role; Azure Managed Identity; GCP Workload Identity Federation) bez statických tajemství.
Perimetr bez perimetru: Zero Trust
Model Zero Trust vychází z předpokladu, že žádná síť není implicitně důvěryhodná. Ověřují se identity, zařízení a kontext každého požadavku. Implementační prvky:
- Podmíněný přístup (Conditional Access) na základě rizika, stavu zařízení (posture), geografie, síly ověření (MFA).
- Mikrosegmentace na úrovni VPC/NSG/Security Groups a aplikačních politik (service mesh, mTLS).
- Privátní přístup ke službám: PrivateLink/Private Endpoint (AWS/Azure), Private Service Connect (GCP) pro odstranění veřejného přístupu na internet.
Síťové bezpečnostní modely
- Segmentace: VPC/VNet na úrovni aplikace/vrstvy, dedikované podsítě pro web/aplikace/data, privátní podsítě bez egress do internetu.
- Filtrace: Security Groups/NSG (stavové) + Network ACLs/hierarchický firewall (statické); deny-all, allow-by-exception.
- Transit a sdílení sítě: Transit Gateway/Virtual WAN/Cloud Router pro centrální směrování a inspekci provozu.
- Perimetrické služby: WAF, L7 firewally, ochrana proti DDoS (AWS Shield/CloudFront, Azure Front Door, Google Cloud Armor).
- Šifrování v přenosu: TLS 1.2+ end-to-end, mTLS pro komunikaci servis-servis, Perfect Forward Secrecy (PFS) křivky, správná rotace certifikátů.
Modely ochrany dat: klasifikace, šifrování a řízení klíčů
- Klasifikace dat (PII, PCI, zdravotní data, interní): mapování na politiky uchovávání, šifrování a řízení přístupu.
- Šifrování v klidu: standardně spravované klíče poskytovatele nebo CMK (Customer-Managed Keys) v KMS; envelope encryption a granularita šifrování na úrovni objektů/tabulek/disků.
- HSM a externí klíče: CloudHSM/Azure Dedicated HSM; externí key manager/HYOK/XKS pro suverénní scénáře.
- Ochrana přístupu k objektům: bucket policies/ACL, IAM podmínkové klíče, přístup pouze z VPC; pre-signed URL a SAS tokeny s krátkou expirací.
- DLP a tokenizace: automatické detektory citlivých dat, pseudonymizace a format-preserving šifrování pro analytiku.
Bezpečnostní governance a policy-as-code
- Organizační politiky: AWS SCP, Azure Policy, GCP Org Policies (blokace deaktivace logů, vynucení CMK, zákaz veřejných IP v produkčním prostředí).
- Konfigurační baseline: AWS Config/Conformance Packs, Azure Policy iniciativy, GCP Config Validator; automatické remediace.
- OPA/Gatekeeper a Terraform Sentinel: validace Infrastructure as Code před nasazením, shift-left governance.
Posture management a detekce hrozeb
- CSPM/CNAPP: průběžné skenování chyb konfigurace, zranitelností a prioritizace podle rizika (kombinace signálů: expozice, citlivost dat, dosah).
- Detekční služby: GuardDuty/Inspector/Security Hub (AWS), Defender for Cloud/Microsoft Sentinel (Azure), SCC/Chronicle (GCP) pro detekci hrozeb a korelaci událostí.
- Audit a logování: CloudTrail/CloudWatch, Azure Activity/Monitor, GCP Cloud Audit Logs/Logging; neměnné úložiště logů, WORM retention a korelační ID.
Privilegované přístupy a operační model
- PIM/JIT: dočasné přidělení práv s vícefaktorovou autentizací, schvalováním a auditním záznamem; break-glass účty zabezpečené trezorem s dohledem.
- Privileged Access Workstations (PAW): izolovaná zařízení pro správu cloudu.
- Segregation of Duties: oddělení rolí pro změny, kontrolu a nasazení; zásada čtyř očí.
Modely bezpečnosti v Kubernetes a kontejnerech
- Pod Security a Network Policies: zákaz privilegovaných kontejnerů, omezení systémových volání (seccomp), izolace jmenných prostorů, omezení odchozí komunikace.
- mTLS v service mesh (Istio/Linkerd): šifrování a identita služeb, zero-trust model uvnitř clusteru.
- Supply-chain: podpisy image (Sigstore/cosign), SLSA úrovně, sken závislostí a Admission Control (OPA, Kyverno).
- IAM bind: mapování Service Account → cloud role (Workload Identity/IRSA/Managed Identity) bez statických tajemství.
API bezpečnost a řízení integrací
- Gateway s OAuth 2.1/OIDC, omezení frekvence požadavků (rate-limit), validace schémat, mTLS pro partnerské komunikace a token exchange pro server-to-server autentifikaci.
- Rotace tajemství a bez-secretní přístup: Secrets Manager/Key Vault/Secret Manager, krátká expirace, audit přístupů.
- Threat modeling pro API (STRIDE), ochrana proti SSRF, validační limity a maximální velikosti payloadů.
Databáze a analytika: řízení přístupu a izolace
- Row-/column-level security a view-based přístup pro ochranu PII; maskování dat v neprodukčním prostředí.
- Privátní konektivita k databázím (bez veřejných endpointů), rotace přihlašovacích údajů a passwordless metody (IAM auth, IAM DB Auth, Azure AD auth).
- Oddělení produkce a analytiky: export dat přes kontrolované kanály, lakehouse architektura s přístupovou vrstvou a auditními stopami.
Disaster Recovery, zálohy a suverenita dat
- Multiregionální a AZ architektura; kryptografické oddělení záložních klíčů od těch produkčních.
- Neměnné zálohy, verzování objektů a object lock; pravidelné testy obnovy (fire-drills).
- Data residency: regionální restrikce politikami, zákaz přeshraniční replikace, externí KMS pro suverénní režimy.
Bezpečnostní modely pro vývoj a nasazení (DevSecOps)
- Shift-left: SAST/DAST/IAST, SCA a IaC skeny v CI; policy gates pro produkční nasazení.
- Provenience artefaktů a podpisy (Sigstore), publikace SBOM při releasu, reproducible builds.
- Progressive delivery: canary/blue-green deployment s bezpečnostními guardraily; automatické vrácení změn při detekci anomálií.
Monitorování, detekce a reakce
- Detekce založená na případových scénářích: abnormální IAM události, změny politik, exfiltrace z objektových úložišť, signatury kryptominingu.
- SOAR playbooky: automatizace izolace, rotace klíčů, karanténa účtů/projektů, ticketing a notifikace.
- Časová synchronizace, korelátory a trace IDs napříč vrstvami pro forenzní vyšetřování.
Metodiky posouzení rizik a měření efektivity
- KPI/SLO: doba nasazení záplat, MTTD/MTTR, % zdrojů v souladu s politikami, míra pokrytí logy, % privátních endpointů.
- KRI: počet veřejně přístupných zdrojů, nezabezpečené bucket/Blob storage, přítomnost dlouhodobých klíčů.
- Kontinuální audit: automatizované důkazy pro ISO 27001, SOC 2, PCI DSS; evidence as code.
Referenční architektury pro různé úrovně zralosti
- Start: jedna organizace/tenant, několik sandbox/prod účtů/projektů, základní IAM, logování, CMK pro PII, WAF a ochrana proti DDoS.
- Střední: landing zone s více účty/projekty, centrální síť a sdílené služby, CSPM/CNAPP, PIM/JIT, privátní přístup ke spravovaným službám.
- Pokročilá: multi-regionální a suverénní architektura, externí KMS/HSM, Zero Trust napříč sítí i aplikacemi, SLSA supply chain, plně automatizovaná remediace.
Antivzory a časté chyby
- Používání dlouhodobých přístupových klíčů bez rotace a bez omezení rozsahu oprávnění.
- Veřejně přístupné storage buckety/blob kontejnery a databáze s povoleným přístupem z 0.0.0.0/0.
- Nedostatečné logování a absence neměnné retence; nemožnost forenzní analýzy.
- Monolitický „all-powerful“ administrátorský účet bez JIT a MFA.
- Neexistence policy-as-code – ruční konfigurace bez vynucení standardů.
Praktická roadmapa zavedení
- Základ governance: založení organizace/tenantu, landing zone, účtů/projektů, centrální logování a CMK.
- IAM a Zero Trust: MFA, JIT/PIM, federace, workload identity, privátní endpointy, mTLS.
- Policy-as-code: SCP/Org Policy/Azure Policy, konformační balíčky, OPA v CI/CD, automatická remediace.
- Detekce a reakce: CSPM/CNAPP, SIEM/SOAR, playbooky pro rotaci tajemství a izolaci.
- Supply-chain a Kubernetes: podpisy
