AWS Security Specialty : securisez vos architectures cloud
La certification AWS Certified Security - Specialty valide une expertise avancee en securite des environnements AWS. Elle couvre la protection des donnees, la gestion des identites, la detection des menaces et la reponse aux incidents.
Domaines de l'examen
Detection et reponse aux incidents (14%) : utiliser GuardDuty, Security Hub, Detective et CloudTrail pour detecter et investiguer les menaces. Automatiser les reponses avec EventBridge et Lambda.
Journalisation et surveillance (18%) : configurer CloudTrail, VPC Flow Logs, CloudWatch Logs. Centraliser les logs avec un compte de securite dedie. Analyser avec Athena et OpenSearch.
Securite de l'infrastructure (20%) : VPC, sous-reseaux, groupes de securite, NACLs, AWS WAF, Shield, Network Firewall. Protection contre les attaques DDoS et les intrusions reseau.
Gestion des identites et des acces (16%) : IAM policies, roles, federation d'identite (SAML, OIDC), AWS Organizations, SCPs, Permission Boundaries. Principe du moindre privilege.
Protection des donnees (18%) : chiffrement avec KMS et CloudHSM, gestion des cles, chiffrement S3, EBS, RDS. Secrets Manager et Parameter Store pour les secrets applicatifs.
Gestion et gouvernance de la securite (14%) : AWS Config, conformite, audit, frameworks de securite (CIS Benchmarks, NIST). AWS Audit Manager pour les rapports de conformite.
Services de securite essentiels
- AWS IAM : controle d'acces granulaire avec politiques JSON
- AWS KMS : gestion des cles de chiffrement, rotation automatique
- Amazon GuardDuty : detection de menaces par ML (analyse des logs VPC, DNS, CloudTrail)
- AWS Security Hub : tableau de bord centralise de la posture de securite
- AWS WAF : pare-feu applicatif web contre les injections SQL, XSS, bots
- AWS Shield : protection DDoS (Standard gratuit, Advanced payant)
- AWS Config : evaluation continue de la conformite des ressources
- Amazon Inspector : scan de vulnerabilites sur les instances EC2 et les images de conteneurs
Bonnes pratiques de securite AWS
- Multi-compte : separez les environnements (prod, dev, securite, logs) dans des comptes AWS distincts avec AWS Organizations
- Chiffrement partout : activez le chiffrement au repos et en transit sur tous les services
- Moindre privilege : chaque role IAM ne doit avoir que les permissions strictement necessaires
- Detection active : activez GuardDuty, Security Hub et Config dans toutes les regions
- Automatisation : utilisez des remediation automatiques via Config Rules et Lambda
Preparation
Comptez 3 a 4 mois de preparation intensive. Pratiquez dans un environnement AWS reel, configurez les services de securite, simulez des incidents et analysez les logs.