Security, Compliance
& Data Protection
Keamanan di AWS bukan satu tombol ajaib, melainkan rangkaian pagar, kunci, kamera, alarm, dan buku audit yang bekerja bersama.
Keamanan Cloud seperti Gedung Perkantoran
Analogi dulu, definisi menyusul.
Bayangkan AWS seperti gedung perkantoran modern, AWS menjaga fondasi, lift, listrik, kamera gedung, dan petugas keamanan, sedangkan penyewa mengunci ruangannya, mengatur siapa boleh masuk, dan menjaga dokumen rahasia.
Dalam cloud, keamanan tidak berhenti saat resource berhasil dibuat. Setelah EC2, S3, database, jaringan, dan deployment aktif, pertanyaan berikutnya adalah: siapa boleh mengakses, data dienkripsi atau tidak, aplikasi tahan serangan umum atau tidak, aktivitas terekam atau tidak, dan bukti compliance bisa ditunjukkan atau tidak.
Untuk CLF-C02, modul ini penting karena Domain 2, Security and Compliance, menyumbang 30% konten ujian. Ini domain terbesar kedua (Domain 3 Cloud Technology & Services 34% adalah yang terbesar, lalu Domain 1 Cloud Concepts 24%, dan Domain 4 Billing/Pricing/Support 12%). Jadi hampir satu dari tiga soal datang dari materi modul ini. AWS tidak menuntut kamu menjadi penetration tester, tetapi kamu harus bisa memilih layanan keamanan yang tepat untuk skenario bisnis yang umum. Rincian bobot ada di Exam Guide CLF-C02.
AWS menjaga gedung dan fasilitas bersama, kamu menjaga ruangan, kunci, dokumen, daftar tamu, serta prosedur operasional di dalam ruanganmu.
Data protection
Menjaga data saat disimpan dan saat berpindah, memakai enkripsi, kunci, sertifikat, dan secret yang aman.
Threat detection
Mendeteksi aktivitas mencurigakan, celah software, data sensitif, dan temuan keamanan lintas akun.
Compliance
Mengumpulkan laporan, bukti audit, agreement, dan status kontrol agar organisasi lebih siap diperiksa.
Tujuan Modul
- Memahami perbedaan tanggung jawab AWS dan pelanggan.
- Membedakan layanan enkripsi, secret, sertifikat, firewall aplikasi, DDoS protection, deteksi ancaman, dan compliance.
- Menjawab soal CLF-C02 berbasis skenario dengan memilih layanan yang paling pas.
Pilar Keamanan untuk Pemula
Pikirkan sebagai lapisan, bukan produk tunggal.
Keamanan AWS mirip sistem keamanan rumah, ada kunci pintu, pagar, kamera, alarm, brankas, buku tamu, dan dokumen bukti inspeksi.
Untuk pemula, susun layanan keamanan AWS menjadi beberapa lapisan. Lapisan ini membantu kamu mengingat fungsi layanan dan menjawab soal skenario dengan cepat.
Identity and access
IAM, IAM Identity Center, role, policy, MFA, least privilege, dan perlindungan root user.
Data protection
KMS, Secrets Manager, ACM, enkripsi at rest, enkripsi in transit, dan klasifikasi data sensitif.
Network and app protection
Security group, NACL, WAF, Shield, Network Firewall, CloudFront, dan desain private network.
Detection and response
GuardDuty, Inspector, Macie, Security Hub, CloudTrail, CloudWatch, dan EventBridge.
Governance
Organizations, SCP, AWS Config, Control Tower, tagging, dan guardrail multi-account.
Compliance evidence
AWS Artifact untuk laporan dan agreement, Audit Manager untuk evidence collection dan assessment.
Prinsip yang sering diuji
- Least privilege, beri izin minimum yang dibutuhkan, bukan akses admin karena mudah.
- Defense in depth, pakai beberapa lapisan proteksi, bukan mengandalkan satu kontrol.
- Encrypt by default, lindungi data saat disimpan dan saat transit.
- Centralize visibility, temuan keamanan lintas akun lebih mudah dipantau dari satu tempat.
- Automate evidence, audit lebih ringan bila bukti dikumpulkan otomatis dari layanan AWS.
Urutan mental yang aman: identitas dulu, data dikunci, aplikasi diberi pagar, aktivitas dipantau, bukti disiapkan.
Enkripsi dan AWS KMS
Kunci data seperti kunci brankas, bukan seperti stiker rahasia.
Enkripsi adalah cara mengubah data menjadi bentuk yang tidak berguna tanpa kunci yang benar.
AWS sering membagi enkripsi menjadi dua konteks: encryption at rest untuk data yang sedang disimpan, dan encryption in transit untuk data yang sedang bergerak melalui jaringan. Untuk CLF-C02, kamu perlu mengenali layanan dan skenario, bukan menghafal algoritma kriptografi secara mendalam.
AWS KMS dalam bahasa sederhana
AWS Key Management Service atau AWS KMS membantu membuat, mengelola, dan menggunakan kunci kriptografi. Banyak layanan AWS terintegrasi dengan KMS, misalnya S3, EBS, RDS, CloudTrail, dan Secrets Manager. Dalam analogi, KMS adalah ruang kontrol kunci pusat. Kamu tidak menyimpan kunci utama sembarangan di aplikasi, tetapi meminta KMS melakukan operasi kriptografi atau membuat data key sesuai izin. Poin penting yang sering keliru: kunci KMS tidak pernah keluar dari KMS dalam bentuk plaintext, dan setiap penggunaannya bisa diaudit lewat CloudTrail.
AWS owned keys
Kunci yang dimiliki dan dikelola AWS untuk beberapa layanan, pelanggan tidak mengelola langsung.
AWS managed keys
Kunci yang dibuat dan dikelola otomatis oleh layanan AWS untuk akunmu, cocok saat ingin sederhana.
Customer managed keys
Kunci yang kamu kelola sendiri, cocok saat butuh kontrol lifecycle, key policy, rotation, audit, dan pemisahan akses.
Envelope encryption
Saat data besar dienkripsi, praktik umum adalah memakai data key untuk mengenkripsi data, lalu data key itu dienkripsi oleh KMS key. Anggap saja kamu punya banyak kotak kecil, tiap kotak punya gembok sendiri, lalu semua kunci gembok disimpan dalam brankas utama yang dikontrol KMS. Kenapa berlapis seperti ini? Karena mengirim data berukuran besar bolak-balik ke KMS itu lambat dan mahal, sedangkan data key berukuran kecil. Jadi KMS cukup mengurus kunci kecil, sementara enkripsi data besar berjalan cepat secara lokal.
Aplikasi atau layanan AWS meminta data key ke KMS, permintaan dicek terhadap izin IAM dan key policy.
KMS mengirim data key plaintext (untuk dipakai sekarang) dan data key terenkripsi (untuk disimpan).
Data key plaintext mengunci data, misalnya objek S3 atau volume EBS, lalu plaintext dibuang dari memori.
Saat ingin membuka data, layanan meminta KMS mendekripsi data key terenkripsi sesuai izin.
Key rotation dan biaya KMS
KMS bisa merotasi customer managed key secara otomatis agar kunci tidak dipakai selamanya. Sejak April 2024, periode rotasi bisa diatur fleksibel dari 90 hari sampai 2560 hari (sebelumnya tetap 365 hari), dan kamu juga bisa memicu on-demand rotation kapan saja. Detail biaya tidak diuji dalam, tetapi anchor berikut membantu intuisi.
Tiap customer managed key sekitar $1 per bulan plus biaya per request API. Rotasi otomatis: rotasi ke-1 dan ke-2 masing-masing menambah $1 per bulan, lalu dibatasi, sehingga kunci dengan 3 rotasi atau lebih jadi $3 per bulan total dan rotasi berikutnya gratis. AWS managed key dan AWS owned key tidak dikenakan biaya bulanan terpisah.
Kapan memakai KMS?
| Skenario | Layanan yang relevan | Alasan |
|---|---|---|
| Objek S3 harus dienkripsi dan akses kunci harus diaudit. | S3 dengan SSE-KMS | KMS memberi kontrol key policy dan audit penggunaan via CloudTrail. |
| Database menyimpan data pelanggan. | RDS atau DynamoDB dengan enkripsi terintegrasi KMS | Data at rest terlindungi dengan integrasi managed service. |
| Log audit harus tidak mudah dibaca sembarang orang. | CloudTrail atau CloudWatch Logs dengan KMS | Log adalah bukti penting, sehingga aksesnya perlu dikendalikan. |
| Aplikasi menyimpan password database. | Secrets Manager memakai KMS di belakang layar | Secret disimpan terenkripsi dan dapat dikontrol aksesnya. |
AWS KMS vs AWS CloudHSM
Analogi dulu: KMS itu seperti brankas bank bersama yang dijaga ketat, banyak nasabah memakai gedung yang sama tetapi tiap kotak terpisah. AWS CloudHSM itu seperti menyewa satu ruang brankas khusus untuk perusahaanmu sendiri, hardware dedicated yang hanya kamu yang pegang kuncinya, bahkan AWS pun tidak bisa mengakses materi kuncimu.
KMS bersifat multi-tenant dan dikelola AWS, memakai HSM tervalidasi FIPS yang dibagi banyak pelanggan, terintegrasi dalam ke layanan AWS, dan murah. CloudHSM bersifat single-tenant, hardware HSM dedicated, kontrol penuh ada di tangan pelanggan, biasanya dipilih saat ada syarat compliance ketat atau ketika organisasi wajib memegang kendali penuh atas kunci tanpa akses AWS sama sekali.
- Multi-tenant, HSM dipakai bersama banyak pelanggan di balik layar.
- Dikelola AWS, integrasi mendalam dengan S3, EBS, RDS, Secrets Manager, dan lainnya.
- Murah dan mudah dipakai, cocok untuk mayoritas kebutuhan enkripsi.
- AWS mengelola lifecycle HSM, kamu fokus pada key policy dan izin.
- Single-tenant, hardware HSM dedicated khusus untukmu.
- Kontrol penuh di tangan pelanggan, AWS tidak bisa mengakses materi kunci.
- Dipilih untuk compliance ketat atau syarat dedicated single-tenant HSM.
- Lebih banyak tanggung jawab operasional, biaya lebih tinggi.
Jika soal menyebut dedicated single-tenant HSM atau customer fully controls keys with no AWS access, jawabannya CloudHSM. Selain itu, untuk kebutuhan enkripsi umum yang terintegrasi dan hemat, jawabannya KMS.
KMS bukan tempat menyimpan file rahasia besar, KMS mengelola kunci, sedangkan data biasanya tetap berada di layanan seperti S3, EBS, RDS, atau Secrets Manager. Menyimpan password database di KMS adalah jawaban salah, simpan di Secrets Manager atau Parameter Store SecureString yang justru memakai KMS untuk mengenkripsinya.
Bila soal menyebut membuat dan mengontrol kunci enkripsi untuk layanan AWS, arahkan ke AWS KMS.
Secrets Manager, Parameter Store, dan ACM
Secret untuk aplikasi, config murah, sertifikat untuk koneksi aman.
Secret adalah benda yang tidak boleh ditaruh di papan pengumuman, sertifikat adalah kartu identitas digital agar koneksi HTTPS bisa dipercaya.
AWS Secrets Manager
AWS Secrets Manager membantu mengelola, mengambil, dan merotasi secret seperti kredensial database, API key, token OAuth, dan password aplikasi. Tujuannya sederhana: aplikasi tidak perlu menyimpan password langsung di source code, file konfigurasi publik, atau repository.
Simpan rahasia
Secret disimpan terpusat dan terenkripsi dengan KMS, sehingga tidak tercecer di kode atau catatan manual.
Ambil saat runtime
Aplikasi meminta secret ketika dibutuhkan, biasanya lewat SDK, API, atau integrasi layanan.
Rotasi otomatis
Secret dapat diganti berkala secara otomatis, dengan integrasi rotasi native untuk RDS, sehingga risiko kredensial lama berkurang.
Secrets Manager dikenakan sekitar $0.40 per secret per bulan plus $0.05 per 10.000 panggilan API. Cocok saat rotasi otomatis dan integrasi RDS lebih penting daripada biaya nol.
AWS Systems Manager Parameter Store
Analogi dulu: kalau Secrets Manager adalah brankas password kelas premium dengan layanan ganti gembok otomatis, Parameter Store adalah laci arsip serbaguna yang gratis untuk menyimpan nilai konfigurasi, dan bisa dikunci pakai SecureString bila isinya rahasia.
Parameter Store adalah bagian dari AWS Systems Manager. Parameter tipe standard gratis (hingga 10.000 per akun), sedangkan advanced parameter sekitar $0.05 per parameter per bulan. Tipe SecureString mengenkripsi nilai dengan KMS. Bedanya yang paling sering diuji: Parameter Store tidak punya rotasi otomatis bawaan, sedangkan Secrets Manager punya.
- Rotasi otomatis bawaan, plus integrasi native untuk kredensial RDS.
- Mendukung cross-region replication untuk secret.
- Sekitar $0.40 per secret per bulan, dipilih saat rotasi wajib.
- Kata kunci soal: automatic rotation of database credentials.
- Tier standard gratis, cocok untuk nilai konfigurasi dan secret sederhana.
- SecureString mengenkripsi nilai dengan KMS, tetapi tanpa rotasi otomatis bawaan.
- Tidak ada integrasi rotasi RDS native seperti Secrets Manager.
- Kata kunci soal: free, store config values, no rotation needed.
Jika soal menekankan automatic rotation atau integrasi database, pilih Secrets Manager. Jika soal menekankan gratis atau menyimpan config tanpa butuh rotasi, pilih Parameter Store (SecureString bila perlu enkripsi).
AWS Certificate Manager
AWS Certificate Manager atau ACM membantu membuat, menyimpan, dan memperbarui sertifikat SSL/TLS untuk aplikasi dan website AWS. Sertifikat ini dipakai agar user bisa mengakses aplikasi melalui HTTPS. ACM sering dipakai bersama CloudFront, Application Load Balancer, API Gateway, dan layanan terintegrasi lain. ACM juga memperbarui (auto-renew) sertifikat yang dikeluarkannya secara otomatis, sehingga kamu tidak perlu mengingat tanggal kedaluwarsa.
Sertifikat public dan private yang dibuat lewat ACM dan dipakai dengan layanan terintegrasi (ELB, CloudFront, API Gateway) gratis. Sejak 17 Juni 2025 ada jenis baru, exportable public certificate, yang bisa diekspor dengan private key untuk dipakai di luar AWS (EC2, container, on-prem) dan ini berbayar. Jadi jangan menyimpulkan semua sertifikat ACM gratis.
| Kebutuhan | Pilih | Contoh |
|---|---|---|
| Menyimpan password database aplikasi dan merotasinya otomatis. | Secrets Manager | Backend mengambil password RDS saat runtime, rotasi terjadwal otomatis. |
| Mengelola API key pihak ketiga dengan rotasi. | Secrets Manager | Service pembayaran memakai token yang tersimpan aman dan dirotasi. |
| Menyimpan nilai config dan secret sederhana dengan biaya nol. | Parameter Store | Tier standard gratis, SecureString memakai KMS bila perlu enkripsi. |
| Mengaktifkan HTTPS di domain aplikasi. | ACM | CloudFront atau ALB memakai sertifikat TLS dari ACM. |
| Mengganti sertifikat public yang mendekati kedaluwarsa. | ACM managed renewal | ACM membantu memperbarui sertifikat yang dikeluarkan ACM sesuai syarat validasi. |
Secrets Manager seperti brankas password aplikasi dengan tukang ganti gembok otomatis, Parameter Store seperti laci arsip gratis (bisa dikunci SecureString), ACM seperti kantor penerbit kartu identitas digital untuk website.
Bila soal menyebut password, token, API key, atau rotation, pikirkan Secrets Manager. Bila menyebut config gratis tanpa rotasi, pikirkan Parameter Store. Bila menyebut SSL/TLS certificate atau HTTPS, pikirkan ACM.
WAF dan Shield
Pagar aplikasi dan perlindungan banjir traffic.
Kalau internet adalah jalan raya, WAF adalah satpam yang memeriksa isi permintaan HTTP, sedangkan Shield adalah perlindungan saat jalan dibanjiri traffic serangan DDoS.
AWS WAF
AWS WAF adalah web application firewall untuk memantau dan mengontrol request HTTP(S) yang menuju resource aplikasi. Kamu membuat web ACL, menambahkan rule, lalu mengaitkannya ke resource seperti CloudFront distribution, Application Load Balancer, API Gateway REST API, AppSync GraphQL API, Cognito user pool, App Runner, Verified Access, dan Amplify. WAF bekerja di Layer 7, ia bisa memeriksa isi request: blokir SQL injection dan XSS, rate limiting, filter IP atau geografi, sampai memakai managed rule group siap pakai dari AWS.
AWS Shield
AWS Shield membantu melindungi aplikasi dari Distributed Denial of Service atau DDoS. Shield Standard tersedia otomatis dan gratis untuk semua pelanggan AWS, melindungi dari serangan DDoS umum pada Layer 3 dan 4 (network dan transport). Tidak perlu opt-in atau bayar untuk tier ini. Shield Advanced adalah tier berbayar untuk organisasi yang butuh perlindungan lebih tinggi, mitigasi Layer 3, 4, dan 7, visibilitas tambahan, akses 24/7 ke Shield Response Team (SRT), serta DDoS cost protection berupa kredit tagihan saat usage melonjak pada resource yang dilindungi.
- Gratis dan aktif otomatis untuk semua pelanggan, tanpa opt-in.
- Mitigasi DDoS Layer 3 dan 4 (network dan transport).
- Tidak ada Shield Response Team (SRT).
- Tidak ada DDoS cost protection.
- Sekitar $3.000 per bulan per organisasi dengan komitmen 1 tahun.
- Mitigasi DDoS Layer 3, 4, dan 7, plus visibilitas lebih dalam.
- Akses 24/7 ke Shield Response Team (SRT).
- DDoS cost protection (kredit tagihan untuk CloudFront, Route 53, ELB, Global Accelerator, WAF).
WAF bekerja di Layer 7 (isi request HTTP), Shield fokus pada DDoS. Standard menangani L3/L4, Advanced menambah L7. Jadi serangan DDoS volumetrik besar mengarah ke Shield, sedangkan SQL injection di request web mengarah ke WAF.
| Serangan atau kebutuhan | Layanan | Alasan |
|---|---|---|
| Blokir SQL injection atau request pattern berbahaya. | AWS WAF | WAF memeriksa request HTTP(S) dan menerapkan rules. |
| Batasi request dari IP tertentu atau negara tertentu. | AWS WAF | Rule WAF bisa memakai IP set, pattern, header, URI, dan kondisi request lain. |
| Perlindungan dasar dari DDoS umum. | AWS Shield Standard | Aktif otomatis untuk pelanggan AWS. |
| Aplikasi publik sangat kritikal dan butuh proteksi DDoS lebih tinggi. | AWS Shield Advanced | Memberi perlindungan tambahan, visibility, dan dukungan respons untuk serangan DDoS besar. |
Kamu tidak perlu menulis rule WAF yang kompleks, tetapi harus tahu WAF bekerja di layer aplikasi HTTP(S), sedangkan Shield fokus pada DDoS protection.
Jika kata kuncinya SQL injection, XSS, bot request, atau web ACL, pilih WAF. Jika kata kuncinya DDoS, pilih Shield.
GuardDuty, Inspector, Macie, Security Hub, Detective
Deteksi, konsolidasi, dan investigasi yang saling melengkapi.
Setelah pintu dikunci dan pagar dipasang, kamu tetap butuh kamera, alarm, pemeriksaan celah, ruang kontrol yang menggabungkan laporan, dan detektif yang menelusuri akar masalah.
Kelima layanan ini paling sering tertukar di ujian karena namanya mirip dan semua terdengar seperti keamanan. Kunci membedakannya bukan menghafal fitur, tetapi menjawab satu pertanyaan: layanan ini menjawab pertanyaan keamanan yang mana?
Lima layanan dan pertanyaan yang dijawabnya
| Layanan | Analogi | Pertanyaan yang dijawab | Kata kunci ujian |
|---|---|---|---|
| Amazon GuardDuty | Alarm keamanan pintar | Apakah ada aktivitas mencurigakan atau ancaman di akunku? | Threat detection, malicious IP, suspicious activity, account compromise. |
| Amazon Inspector | Pemeriksa celah bangunan | Apakah workload-ku punya kerentanan software (CVE) atau paparan jaringan? | Vulnerability management, CVE, package vulnerability, network exposure. |
| Amazon Macie | Petugas pencari dokumen rahasia | Apakah ada data sensitif (PII) yang tersimpan di S3? | Sensitive data, PII, S3 bucket, data classification. |
| AWS Security Hub | Ruang kontrol keamanan | Bisakah aku melihat dan memprioritaskan semua temuan di satu tempat? | Centralize findings, security posture, compliance status, CSPM. |
| Amazon Detective | Detektif penyelidik | Apa akar masalah dari temuan ini, dan bagaimana hubungannya antar resource? | Investigate, root cause, behavior graph, visualize relationships. |
GuardDuty
Amazon GuardDuty terus memantau dan menganalisis log AWS untuk menemukan aktivitas mencurigakan. Data source dasarnya tidak perlu setup tambahan: CloudTrail management events, VPC Flow Logs, dan DNS query logs. Contoh temuan: akses API tidak biasa, komunikasi dengan domain atau IP berbahaya, atau pola yang menunjukkan kredensial mungkin disalahgunakan. Protection plan opsional bisa menambah cakupan, misalnya S3 Protection, EKS Protection, Runtime Monitoring, Malware Protection, RDS Protection, dan Lambda Protection.
GuardDuty Extended Threat Detection kini otomatis mengaitkan sinyal lintas layanan untuk memunculkan rangkaian serangan multi-tahap (misalnya kredensial bocor lalu eksfiltrasi data) sebagai satu temuan kritikal dengan pemetaan MITRE ATT&CK. Aktif otomatis tanpa biaya tambahan, inilah pengalaman GuardDuty yang akan kamu lihat di console 2026.
Inspector
Amazon Inspector berfokus pada kerentanan. Jika kamu ingin tahu apakah EC2, image container di ECR, atau fungsi Lambda punya paket rentan (CVE) atau paparan jaringan yang tidak disengaja, pikirkan Inspector. Ia menghasilkan finding yang bisa diprioritaskan untuk perbaikan. Sejak Juni 2025 Inspector menambah code security, yaitu memindai source code, dependency, dan Infrastructure as Code dengan integrasi GitHub dan GitLab, sehingga cakupannya meluas dari sekadar EC2/ECR/Lambda.
Macie
Amazon Macie berfokus pada data sensitif di S3. Misalnya organisasi ingin mendeteksi apakah bucket menyimpan informasi identitas pribadi, nomor kartu, kredensial, atau pola data sensitif lain, memakai machine learning dan pattern matching. Macie bukan firewall dan bukan vulnerability scanner. Ada free trial 30 hari yang mencakup automated sensitive data discovery gratis.
Security Hub
AWS Security Hub menggabungkan temuan dan security check agar tim tidak membuka banyak console satu per satu. Ia cocok untuk melihat posture keamanan lintas akun dan integrasi, lalu mendorong remediasi lewat workflow lain. AWS Config adalah mesin di balik sebagian besar cek control Security Hub.
Sejak 2 Desember 2025 ada perubahan nama. Produk lama yang melakukan control check dan konsolidasi finding kini bernama AWS Security Hub CSPM. Nama AWS Security Hub sekarang dipakai untuk produk baru yang menambah korelasi lintas layanan dan prioritas risiko near-real-time. Untuk CLF-C02 2026, framing aman: Security Hub (CSPM) = konsolidasi finding dan posture, Security Hub baru = korelasi dan prioritas risiko. Kedua istilah bisa muncul di docs maupun soal.
Detective
Amazon Detective adalah langkah investigasi setelah deteksi. Ia membangun behavior graph dari CloudTrail logs, VPC Flow Logs, EKS audit logs, dan finding dari GuardDuty, Security Hub, dan Inspector, lalu memakai machine learning dan graph theory untuk membantu menelusuri akar masalah sebuah temuan. Kalau GuardDuty bertanya apakah ada masalah, Detective bertanya kenapa masalah ini terjadi dan apa hubungannya antar resource sepanjang waktu.
- Memunculkan alert atau finding bahwa sesuatu mencurigakan terjadi.
- Sumber: CloudTrail, VPC Flow Logs, DNS logs, plus protection plan.
- Kata kunci: threat detection, anomaly, suspicious activity.
- Menjawab pertanyaan: apakah ada masalah?
- Menyelidiki akar masalah dari finding yang sudah muncul.
- Behavior graph yang menghubungkan resource, aktor, dan waktu.
- Kata kunci: investigate, root cause, visualize relationships.
- Menjawab pertanyaan: kenapa masalah ini terjadi?
GuardDuty mencari ancaman, Inspector mencari vulnerability, Macie mencari data sensitif di S3, Security Hub (CSPM) mengonsolidasikan dan memprioritaskan finding, Detective menyelidiki akar masalah. Jangan tukar Detective dengan GuardDuty: kata investigate atau root cause mengarah ke Detective.
Artifact, Audit Manager, Config, dan Governance
Bukti, kontrol, evaluasi konfigurasi, dan aturan main.
Compliance bukan hanya menjadi aman, tetapi juga bisa menunjukkan bukti bahwa kontrol keamanan berjalan.
AWS Artifact
AWS Artifact menyediakan akses on-demand ke laporan keamanan dan compliance AWS (SOC, PCI DSS, ISO, dan lainnya) serta agreement tertentu seperti Business Associate Addendum (BAA). Ini seperti lemari dokumen resmi dari pengelola gedung. Penting: Artifact mendokumentasikan compliance milik AWS, bukan compliance aplikasimu. Saat auditor bertanya tentang sertifikasi atau laporan AWS, Artifact adalah tempat untuk mencari dokumen AWS yang relevan.
AWS Audit Manager
AWS Audit Manager membantu mengotomatisasi pengumpulan evidence untuk assessment berbasis framework, dengan memetakan konfigurasi resource, aktivitas pengguna, dan hasil compliance check terhadap framework bawaan dan custom (misalnya CIS, PCI DSS, GDPR, HIPAA, SOC 2). Ini seperti asisten audit yang mengumpulkan bukti dari layanan AWS. Audit Manager tidak menggantikan auditor manusia, tetapi mengurangi pekerjaan manual menyiapkan bukti tentang lingkunganmu sendiri.
AWS Config
Analogi dulu: Config seperti kamera CCTV yang merekam riwayat perubahan setiap resource, plus inspektur yang terus mengecek apakah konfigurasi masih sesuai aturan. AWS Config merekam konfigurasi resource, menyimpan configuration history, dan mengevaluasi resource terhadap rule untuk kepatuhan. Ia menjawab pertanyaan seperti: seperti apa konfigurasi resource ini bulan lalu, apakah ada drift dari desired state, dan apakah resource ini melanggar aturan. Config adalah mesin di balik sebagian besar control check di Security Hub CSPM.
Configuration history
Riwayat perubahan setiap resource dari waktu ke waktu, berguna untuk audit dan investigasi.
Config rules
Aturan desired-state, misalnya semua bucket S3 harus terenkripsi atau tidak boleh public.
Drift & compliance evaluation
Menandai resource yang menyimpang dari aturan, sehingga tim tahu apa yang perlu diperbaiki.
Conformance packs
Kumpulan rule untuk satu standar tertentu, mempercepat penerapan guardrail compliance.
Standar compliance yang sering disebut
CLF-C02 menyebut beberapa standar compliance secara umum. Kamu tidak perlu hafal isi tiap standar, cukup tahu di mana AWS membantu.
| Standar | Untuk apa | Di mana AWS membantu |
|---|---|---|
| SOC 1/2/3 | Kontrol operasional dan keamanan penyedia layanan. | Laporan via AWS Artifact. |
| PCI DSS | Keamanan data kartu pembayaran. | Laporan Artifact, framework Audit Manager, conformance pack Config. |
| ISO 27001 | Sistem manajemen keamanan informasi. | Sertifikat dan laporan via Artifact. |
| HIPAA | Perlindungan data kesehatan (AS). | Accept BAA via Artifact, framework Audit Manager. |
| GDPR | Perlindungan data pribadi (Eropa). | Framework Audit Manager, Macie untuk temukan PII. |
| NIST / CIS | Kerangka kontrol keamanan referensi. | Conformance pack Config, framework Audit Manager, standar Security Hub CSPM. |
Governance di AWS
Governance adalah cara organisasi memastikan banyak akun dan resource tetap mengikuti aturan. Contohnya, memakai AWS Organizations untuk struktur akun, SCP untuk guardrail izin, AWS Config untuk evaluasi konfigurasi, tagging untuk kepemilikan dan biaya, serta Trusted Advisor untuk rekomendasi best practice tertentu.
| Kebutuhan | Layanan | Jawaban singkat |
|---|---|---|
| Mengunduh laporan compliance AWS. | AWS Artifact | Tempat dokumen audit dan compliance AWS. |
| Mengelola agreement seperti BAA bila relevan. | AWS Artifact | Tempat review, accept, dan track agreement tertentu. |
| Mengumpulkan evidence audit otomatis dari resource AWS. | AWS Audit Manager | Assessment, framework, controls, evidence collection. |
| Mengevaluasi konfigurasi resource terhadap aturan. | AWS Config | Configuration history, compliance rules, drift awareness. |
| Menerapkan guardrail lintas akun. | AWS Organizations dan SCP | Membatasi tindakan maksimum yang bisa dilakukan akun anggota. |
AWS Artifact menunjukkan compliance AWS dan dokumen resmi AWS, tetapi compliance aplikasi kamu tetap bergantung pada konfigurasi, proses, data, dan kontrol yang kamu jalankan.
Jika soal menyebut download laporan AWS (SOC, PCI, ISO) atau agreement, pilih Artifact. Jika menyebut evidence collection otomatis dari resource-mu, pilih Audit Manager. Jika menyebut evaluasi konfigurasi, riwayat konfigurasi, atau drift, pilih Config.
Alur Arsitektur Aman Tingkat Tinggi
Melihat layanan sebagai sistem terpadu.
Keamanan yang baik biasanya tidak berdiri sendiri, tetapi mengikuti alur user, aplikasi, data, monitoring, dan bukti audit.
Membaca diagram
Pengguna masuk melalui internet. CloudFront atau ALB memakai sertifikat dari ACM untuk HTTPS. WAF memeriksa request HTTP(S), Shield membantu proteksi DDoS, aplikasi mengambil secret dari Secrets Manager (atau config dari Parameter Store), data disimpan di S3 atau database dengan enkripsi KMS, aktivitas terekam di CloudTrail dan CloudWatch, lalu GuardDuty, Inspector, dan Macie menghasilkan temuan. Security Hub mengonsolidasikan temuan, Detective membantu menyelidiki akar masalah, sedangkan Config, Artifact, dan Audit Manager menutup sisi compliance.
Gunakan HTTPS dengan ACM, WAF untuk request aplikasi, dan Shield untuk proteksi DDoS.
Gunakan KMS untuk kunci enkripsi, Secrets Manager untuk kredensial, dan Parameter Store untuk config.
Gunakan CloudTrail, CloudWatch, GuardDuty, Inspector, Macie, Security Hub, dan Detective sesuai kebutuhan.
Gunakan Config untuk evaluasi konfigurasi, Artifact untuk dokumen AWS, dan Audit Manager untuk evidence assessment.
Untuk soal skenario, cari dulu masalahnya: akses, data, web attack, DDoS, vulnerability, sensitive data, central findings, compliance report, atau audit evidence.
Hands-on Konseptual
Walkthrough aman tanpa harus menghafal klik console.
Latihan ini bukan untuk menghafal tombol, tetapi untuk membangun intuisi keamanan yang benar.
Kasus: online shop sederhana
Kamu punya aplikasi online shop skincare. Aplikasi publik menerima traffic HTTPS, membaca katalog dari database, menyimpan gambar produk di S3, dan memakai API key payment gateway. Targetnya: aman untuk pemula, realistis, dan mudah dijelaskan ke stakeholder.
Aktifkan MFA untuk root user, jangan pakai root untuk kerja harian, buat IAM role untuk aplikasi, dan terapkan least privilege.
Gunakan ACM untuk sertifikat domain, lalu pasangkan ke CloudFront, ALB, atau API Gateway sesuai arsitektur.
Gunakan AWS WAF di depan aplikasi untuk managed rules, rate-based rule, atau blokir pattern request berbahaya.
Simpan password database dan API key di Secrets Manager, aplikasi mengambil secret saat runtime melalui role yang tepat.
Aktifkan enkripsi pada S3, database, volume, dan log dengan KMS bila butuh kontrol kunci lebih detail.
Gunakan CloudTrail untuk aktivitas API, CloudWatch untuk metrik dan log aplikasi, serta simpan log penting dengan akses terbatas.
Gunakan GuardDuty untuk ancaman, Inspector untuk vulnerability workload, Macie untuk data sensitif di S3, dan Security Hub untuk tampilan pusat.
Gunakan Artifact untuk dokumen AWS, Audit Manager untuk evidence collection, dan Config untuk memantau konfigurasi resource.
Lab aman: tiga langkah hemat biaya di console
Kalau kamu ingin benar-benar menekan tombol tanpa risiko tagihan, tiga langkah berikut aman dan langsung memperkuat postur keamanan. Tetap perhatikan free trial dan matikan layanan trial bila tidak dilanjutkan.
Buka S3, pastikan Block Public Access aktif di level akun, dan default encryption menyala. Ini gratis dan menutup penyebab kebocoran S3 yang paling umum.
GuardDuty punya free trial 30 hari. Aktifkan, lihat sampel finding, lalu matikan bila belum mau lanjut agar tidak ada biaya setelah trial.
Buat satu parameter tipe standard (gratis) untuk nilai config, dan SecureString bila perlu enkripsi KMS, lalu rasakan bedanya dengan Secrets Manager yang berbayar.
Setiap lab harus punya langkah cleanup. Banyak tagihan pemula datang dari layanan trial yang lupa dimatikan, bukan dari materi belajarnya. Cek halaman pricing resmi sebelum mengaktifkan layanan berbayar.
Pertanyaan refleksi
- Apakah ada password yang masih ditaruh di repository?
- Apakah bucket S3 yang berisi data pelanggan punya public access yang tidak sengaja terbuka?
- Apakah aplikasi punya sertifikat TLS yang dikelola baik?
- Apakah ada tempat terpusat untuk melihat temuan keamanan, dan cara menyelidiki akar masalahnya?
- Apakah tim bisa menunjukkan bukti compliance tanpa mencari manual di banyak akun?
CLF-C02 suka skenario bisnis sederhana, fokus pada layanan yang menyelesaikan masalah paling langsung, bukan desain paling rumit.
Skenario Pemilihan Layanan
Latihan mengenali kata kunci.
Di ujian, kamu jarang ditanya definisi kosong. Kamu diberi masalah, lalu diminta memilih layanan yang paling tepat.
| Skenario soal | Jawaban paling mungkin | Kenapa |
|---|---|---|
| Perusahaan butuh mengontrol dan mengaudit penggunaan kunci enkripsi untuk data S3. | AWS KMS | KMS mengelola kunci dan terintegrasi dengan banyak layanan AWS. |
| Perusahaan butuh HSM single-tenant dedicated dengan kontrol penuh dan tanpa akses AWS. | AWS CloudHSM | CloudHSM memberi hardware HSM khusus, AWS tidak bisa mengakses kunci. |
| Developer masih menyimpan password database di source code dan ingin rotasi otomatis. | AWS Secrets Manager | Secret disimpan terpusat, diambil saat runtime, dan dirotasi otomatis. |
| Tim ingin menyimpan nilai config dan secret sederhana dengan biaya nol. | Parameter Store | Tier standard gratis, SecureString memakai KMS bila perlu enkripsi. |
| Website butuh HTTPS dengan sertifikat TLS. | AWS Certificate Manager | ACM mengelola sertifikat untuk layanan AWS terintegrasi. |
| Aplikasi perlu perlindungan dari SQL injection dan request web mencurigakan. | AWS WAF | WAF memeriksa request HTTP(S) dan menerapkan rule. |
| Organisasi ingin proteksi DDoS lebih tinggi untuk aplikasi publik kritikal. | AWS Shield Advanced | Shield berfokus pada DDoS protection dengan fitur lanjutan pada tier Advanced. |
| Tim keamanan ingin mendeteksi aktivitas mencurigakan di akun AWS. | Amazon GuardDuty | GuardDuty adalah layanan threat detection. |
| Tim platform ingin menemukan CVE dan kerentanan paket pada EC2, ECR, atau Lambda. | Amazon Inspector | Inspector adalah vulnerability management service. |
| Tim data ingin mengetahui apakah bucket S3 berisi PII. | Amazon Macie | Macie menemukan sensitive data di Amazon S3. |
| Manajemen ingin satu dashboard temuan keamanan lintas akun dan layanan. | AWS Security Hub (CSPM) | Security Hub mengonsolidasikan findings dan status keamanan. |
| Tim ingin menyelidiki akar masalah sebuah temuan keamanan dan hubungan antar resource. | Amazon Detective | Detective membangun behavior graph untuk investigasi root cause. |
| Tim ingin mengevaluasi konfigurasi resource terhadap aturan dan melihat riwayat perubahan. | AWS Config | Config merekam configuration history dan mengevaluasi compliance rule. |
| Auditor meminta laporan compliance AWS seperti SOC atau PCI. | AWS Artifact | Artifact menyediakan laporan dan dokumen compliance AWS. |
| Tim compliance ingin evidence collection otomatis untuk audit framework. | AWS Audit Manager | Audit Manager mengumpulkan evidence assessment dari sumber AWS. |
KMS = kunci, CloudHSM = HSM dedicated, Secrets Manager = rahasia + rotasi, Parameter Store = config gratis, ACM = sertifikat, WAF = request web, Shield = DDoS, GuardDuty = threat, Inspector = vulnerability, Macie = sensitive data S3, Security Hub = konsolidasi temuan, Detective = investigasi root cause, Config = evaluasi konfigurasi, Artifact = dokumen compliance, Audit Manager = evidence audit.
Kesalahan Umum Pemula
Yang sering terlihat aman, padahal belum tentu.
Banyak insiden cloud terjadi bukan karena AWS tidak aman, tetapi karena konfigurasi pelanggan terlalu longgar atau proses operasional belum matang.
Menggunakan root user untuk kerja harian
Root user seharusnya dilindungi ketat dengan MFA dan hanya dipakai untuk tugas yang benar-benar membutuhkan root.
Memberi akses admin terlalu luas
Least privilege lebih aman daripada memberi wildcard permission karena ingin cepat selesai.
Menyimpan secret di repository
Password dan API key sebaiknya berada di Secrets Manager atau solusi secret management yang sesuai.
Melupakan enkripsi log
Log sering berisi informasi sensitif, sehingga akses dan enkripsinya perlu diperhatikan.
Menganggap WAF menggantikan patching
WAF membantu memfilter request, tetapi aplikasi dan dependensi tetap harus diperbaiki.
Menganggap compliance AWS otomatis membuat aplikasi compliant
AWS menyediakan kontrol dan bukti untuk sisi AWS, tetapi konfigurasi aplikasi dan proses pelanggan tetap menentukan compliance akhir.
Jangan bertanya layanan mana yang paling canggih, tanyakan risiko apa yang ingin dikurangi.
Jebakan Soal CLF-C02
Kata kunci mirip, jawaban berbeda.
Bagian ini membantu kamu menghindari jawaban yang terdengar benar tetapi tidak paling tepat.
| Jebakan | Jawaban yang benar | Alasan |
|---|---|---|
| Butuh laporan compliance AWS dijawab Audit Manager. | AWS Artifact | Artifact untuk laporan dan agreement AWS, Audit Manager untuk evidence assessment pelanggan. |
| Butuh menemukan PII di S3 dijawab GuardDuty. | Amazon Macie | Macie fokus pada sensitive data discovery di S3. |
| Butuh mendeteksi CVE di workload dijawab Security Hub. | Amazon Inspector | Inspector melakukan vulnerability management, Security Hub mengonsolidasikan temuan. |
| Butuh menyelidiki akar masalah finding dijawab GuardDuty. | Amazon Detective | GuardDuty mendeteksi (apakah ada masalah), Detective menyelidiki (kenapa terjadi). |
| Butuh rotasi otomatis password DB dijawab Parameter Store. | AWS Secrets Manager | Parameter Store tidak punya rotasi otomatis bawaan, Secrets Manager punya. |
| Butuh blokir SQL injection dijawab Shield. | AWS WAF | SQL injection adalah masalah request web layer aplikasi, bukan sekadar DDoS. |
| Butuh HSM single-tenant dedicated dijawab KMS. | AWS CloudHSM | KMS multi-tenant terkelola, CloudHSM HSM dedicated dengan kontrol penuh pelanggan. |
| Butuh mengelola sertifikat TLS dijawab KMS. | AWS Certificate Manager | KMS mengelola kunci kriptografi, ACM mengelola sertifikat SSL/TLS. |
| Simpan password database di KMS. | Secrets Manager / Parameter Store | KMS menyimpan kunci, bukan data. Secret disimpan di Secrets Manager atau Parameter Store yang memakai KMS. |
| Semua sertifikat ACM gratis. | Tidak semua | Cert terintegrasi (ELB, CloudFront, API Gateway) gratis, exportable public cert berbayar. |
| Shield Standard harus opt-in atau bayar, dan punya SRT. | Salah | Standard gratis dan otomatis tanpa SRT, SRT dan cost protection hanya di Advanced. |
| Managed service berarti AWS bertanggung jawab atas semua hal. | Tanggung jawab tetap dibagi | Pelanggan tetap mengelola data, akses, konfigurasi, dan compliance internal. |
Latihan cepat
- Threat detection lintas log AWS = GuardDuty.
- Investigasi akar masalah finding = Detective.
- Vulnerability scan workload (CVE) = Inspector.
- Data sensitif di S3 = Macie.
- Central findings dan posture = Security Hub (CSPM).
- Evaluasi konfigurasi dan drift = Config.
- Compliance reports dan agreements = Artifact.
- Audit evidence collection = Audit Manager.
- Keys = KMS, HSM dedicated = CloudHSM, secrets + rotasi = Secrets Manager, config gratis = Parameter Store, certificates = ACM.
Coret jawaban yang menyelesaikan lapisan masalah berbeda, misalnya memilih Shield untuk SQL injection, Macie untuk vulnerability, atau GuardDuty untuk investigasi root cause (itu Detective).
Ringkasan & Tips Ujian
Peta akhir untuk Domain 2 CLF-C02.
Keamanan AWS adalah kombinasi pembagian tanggung jawab, kontrol akses, perlindungan data, proteksi aplikasi, deteksi ancaman, governance, dan bukti compliance.
Poin Penting
- Shared Responsibility Model adalah fondasi semua topik security di CLF-C02, dan Domain 2 menyumbang 30% soal.
- KMS mengelola kunci (multi-tenant, terkelola), CloudHSM memberi HSM dedicated single-tenant dengan kontrol penuh pelanggan.
- Secrets Manager menyimpan secret dengan rotasi otomatis, Parameter Store menyimpan config gratis tanpa rotasi bawaan, ACM mengelola sertifikat SSL/TLS.
- AWS WAF melindungi aplikasi web di Layer 7 (SQLi, XSS, bot), AWS Shield melindungi dari DDoS (Standard gratis L3/L4, Advanced berbayar L3/L4/L7 + SRT + cost protection).
- GuardDuty mendeteksi ancaman, Inspector menemukan vulnerability/CVE, Macie menemukan PII di S3, Security Hub (CSPM) mengonsolidasikan findings, Detective menyelidiki akar masalah.
- Config mengevaluasi konfigurasi, Artifact menyediakan laporan dan agreement AWS, Audit Manager mengumpulkan evidence audit dari lingkunganmu.
Pemetaan ke domain CLF-C02
| Domain | Kaitannya dengan modul ini | Yang harus diingat |
|---|---|---|
| Domain 1, Cloud Concepts | Cloud mengurangi beban operasional fisik melalui shared responsibility. | AWS mengamankan cloud, pelanggan mengamankan konfigurasi dan data. |
| Domain 2, Security and Compliance | Topik utama modul ini. | Shared responsibility, encryption, access, resource security, compliance, governance, dan layanan keamanan. |
| Domain 3, Cloud Technology and Services | Layanan keamanan melekat pada compute, storage, database, network, dan monitoring. | Pilih layanan sesuai masalah teknis: KMS, CloudHSM, Secrets Manager, Parameter Store, ACM, WAF, Shield, GuardDuty, Inspector, Macie, Security Hub, Detective, Config, Artifact, Audit Manager. |
| Domain 4, Billing, Pricing, and Support | Beberapa layanan punya tier, biaya, atau support berbeda. | Jangan menebak harga, cek halaman pricing resmi saat implementasi, dan ingat Shield Advanced berbeda dari Shield Standard. |
Checklist menjelang ujian
- Bisa menjelaskan security of the cloud vs security in the cloud dengan contoh EC2, RDS, S3, dan Lambda.
- Bisa membedakan KMS vs CloudHSM, dan Secrets Manager vs Parameter Store, tanpa tertukar.
- Bisa membedakan ACM dari KMS, dan ingat ACM gratis untuk cert terintegrasi vs exportable cert berbayar.
- Bisa membedakan WAF (L7) dan Shield (DDoS), serta Shield Standard (gratis) vs Advanced (berbayar + SRT).
- Bisa membedakan GuardDuty, Inspector, Macie, Security Hub, dan Detective dari jenis temuan dan langkah (detect vs investigate).
- Bisa membedakan Artifact, Audit Manager, dan Config dari kebutuhan compliance.
- Bisa memilih layanan paling sederhana yang langsung menjawab skenario soal.
Rujukan resmi untuk belajar lanjut
- AWS CLF-C02 Content Domain 2: Security and Compliance
- AWS Shared Responsibility Model
- Choosing AWS security, identity, and governance services
- AWS KMS Developer Guide
- AWS CloudHSM User Guide
- AWS Secrets Manager User Guide
- AWS Systems Manager Parameter Store
- AWS Certificate Manager User Guide
- AWS WAF Developer Guide
- AWS Shield Pricing (Standard vs Advanced)
- Amazon GuardDuty User Guide
- Amazon Inspector User Guide
- Amazon Macie User Guide
- AWS Security Hub User Guide
- Amazon Detective User Guide
- AWS Config Developer Guide
- AWS Artifact User Guide
- AWS Audit Manager User Guide
Untuk CLF-C02, hafalkan fungsi utama layanan, bukan detail konfigurasi terdalam. Jawaban terbaik biasanya layanan yang paling langsung menyelesaikan kebutuhan keamanan atau compliance pada soal.