AWS Security Specialty : sécurisez vos architectures cloud
La certification AWS Certified Security - Specialty valide une expertise avancee en sécurité des environnements AWS. Elle couvre la protection des données, la gestion des identités, la détection des menaces et la réponse aux incidents.
Domaines de l'examen
Détection et réponse aux incidents (14%) : utiliser GuardDuty, Security Hub, Detective et CloudTrail pour détecter et investiguer les menaces. Automatiser les réponses avec EventBridge et Lambda.
Journalisation et surveillance (18%) : configurer CloudTrail, VPC Flow Logs, CloudWatch Logs. Centraliser les logs avec un compte de sécurité dédié. Analyser avec Athena et OpenSearch.
Sécurité de l'infrastructure (20%) : VPC, sous-reseaux, groupes de sécurité, NACLs, AWS WAF, Shield, Network Firewall. Protection contre les attaques DDoS et les intrusions réseau.
Gestion des identités et des accès (16%) : IAM policies, rôles, federation d'identité (SAML, OIDC), AWS Organizations, SCPs, Permission Boundaries. Principe du moindre privilege.
Protection des données (18%) : chiffrement avec KMS et CloudHSM, gestion des clés, chiffrement S3, EBS, RDS. Secrets Manager et Parameter Store pour les secrets applicatifs.
Gestion et gouvernance de la sécurité (14%) : AWS Config, conformité, audit, frameworks de sécurité (CIS Benchmarks, NIST). AWS Audit Manager pour les rapports de conformité.
Services de sécurité essentiels
- AWS IAM : contrôle d'accès granulaire avec politiques JSON
- AWS KMS : gestion des clés de chiffrement, rotation automatique
- Amazon GuardDuty : détection de menaces par ML (analyse des logs VPC, DNS, CloudTrail)
- AWS Security Hub : tableau de bord centralise de la posture de sécurité
- AWS WAF : pare-feu applicatif web contre les injections SQL, XSS, bots
- AWS Shield : protection DDoS (Standard gratuit, Advanced payant)
- AWS Config : évaluation continue de la conformité des ressources
- Amazon Inspector : scan de vulnérabilités sur les instances EC2 et les images de conteneurs
Bonnes pratiques de sécurité AWS
- Multi-compte : separez les environnements (prod, dev, sécurité, logs) dans des comptes AWS distincts avec AWS Organizations
- Chiffrement partout : activez le chiffrement au repos et en transit sur tous les services
- Moindre privilege : chaque rôle IAM ne doit avoir que les permissions strictement nécessaires
- Détection active : activez GuardDuty, Security Hub et Config dans toutes les régions
- Automatisation : utilisez des remediation automatiques via Config Rules et Lambda
Préparation
Comptez 3 à 4 mois de préparation intensive. Pratiquez dans un environnement AWS réel, configurez les services de sécurité, simulez des incidents et analysez les logs.