Sécurité des jeux

« Tout commence par un modèle de menace ».

Travaillez sur la modélisation des menaces et, lorsque vous atteignez le point 9 de l'article, considérez également l'équilibre entre les risques et les frais généraux. Le risque se divise en risque résiduel (considéré comme faisant partie du « risque lié à l'activité commerciale ») et risque matériel (qui nécessite l'application de contrôles compensatoires pour le transformer en risque résiduel). Comme le décrit l'article, élaborez et classez vos politiques, vos contrôles techniques et procéduraux afin d'atténuer les risques à votre satisfaction (en intégrant les contrôles issus des exigences de la réglementation et de la législation, que vous devrez peut-être élaborer à partir des interprétations de votre équipe juridique), et mettez en correspondance ces contrôles avec les services et les fonctionnalités qui peuvent contribuer à leur réalisation. 

Pour vous aider à créer ce mappage, utilisez ce qui suit : 

• Conformité AWS
  
• Pilier de la sécurité : cadre AWS Well-Architected
  
• Management and Governance Lens
  
• Game Industry Lens : AWS Well-Architected

Bien qu'il existe des fonctionnalités que vous voudrez fournir vous-même en utilisant votre propre code, les services AWS et potentiellement du code open source, utilisez vos politiques et votre cadre de contrôle pour identifier les partenaires que vous avez l'intention d'engager en vue de fournir les fonctions que vous ne voulez pas avoir à gérer, ou qui sont en dehors du champ d'application des services AWS. Par exemple, si votre jeu nécessite que les utilisateurs s'authentifient auprès de votre environnement, quels fournisseurs d'identité fédérée comptez-vous prendre en charge ? 

Si vous utilisez EC2 de telle sorte que votre cadre de contrôle vous oblige à implémenter des outils contre les logiciels malveillants sur l'instance au-delà des profils de capacité SELinux, quels sont les outils disponibles sur AWS Marketplace pour répondre à vos besoins, en gardant à l'esprit que vous pouvez avoir besoin de mettre à l'échelle automatiquement des groupes d'instances tant à la hausse qu'à la baisse ? 

À moins que vous ne commenciez tout juste à explorer AWS en tant qu'amateur ou pendant votre temps libre, vous aurez besoin d'un environnement multicomptes bien conçu pour apprendre, développer, créer, tester et déployer, tout en séparant les différents environnements et les données qu'ils contiennent de manière appropriée les uns des autres. 

Passez en revue l'organisation de votre environnement AWS à l'aide de plusieurs comptes (langue Français non garantie) pour concevoir votre structure multicomptes. Certains types de jeux peuvent consommer beaucoup de ressources non clientes. Si le vôtre en fait partie, réfléchissez à la manière dont votre environnement pourrait devoir se mettre à l'échelle rapidement lorsque votre jeu deviendra populaire. La manière de procéder dépend des types de services AWS sur lesquels votre jeu est hébergé, mais veillez toujours à respecter les quotas de service par compte. Lorsque votre cadre de contrôle l'exige, déployez des mesures d'atténuation des attaques DDoS à l'échelle de l'organisation, comme indiqué dans le livre blanc AWS Best Practices for DDoS Resiliency (langue Français non garantie).

Vous êtes maintenant prêt à définir et à appliquer votre stratégie de balisage dans la politique de l'organisation (consultez les politiques relatives aux balises), et à configurer votre cadre de surveillance et de réponse aux incidents en fonction de vos politiques et de votre modèle de menace, y compris la suppression des résultats qui peuvent ne pas répondre à vos besoins spécifiques. 

En ce qui concerne les recommandations relatives au cadre de réponse aux incidents, consultez ce guide de réponse aux incidents de sécurité AWS (langue Français non garantie). Des exemples de runbooks pour des scénarios d'incidents spécifiques sont disponibles sur GitHub. 

Lorsque la politique de réponse que vous avez choisie inclut des activités qui peuvent être automatisées en fonction des événements de surveillance, consultez le guide de mise en œuvre de la réponse et de la correction automatisées d'AWS Security Hub (langue Français non garantie) pour découvrir le cadre et l'ensemble d'automatisation qui vous aideront à y parvenir.