調(diào)查表明，AWS云平臺(tái)仍在主導(dǎo)2021年的云計(jì)算市場(chǎng)。隨著網(wǎng)絡(luò)攻擊日益猖獗，云服務(wù)提供商也要擔(dān)負(fù)保護(hù)云平臺(tái)中用戶數(shù)據(jù)的責(zé)任。在過去幾年中，越來越多的企業(yè)將業(yè)務(wù)遷移到AWS云平臺(tái)，從而使云平臺(tái)的安全成為網(wǎng)絡(luò)安全環(huán)境中的一個(gè)關(guān)鍵問題。

以下介紹了確保AWS云平臺(tái)安全的8個(gè)最佳實(shí)踐。

1.將安全性作為云計(jì)算規(guī)劃的一部分

企業(yè)在云安全方面制定合理的戰(zhàn)略規(guī)劃可以節(jié)省大量時(shí)間和費(fèi)用。將安全性作為云計(jì)算規(guī)劃的一部分是一項(xiàng)主要實(shí)踐。在開展項(xiàng)目的后期部分，采用這一策略將是有益的，因?yàn)樗鼘椭髽I(yè)分析它對(duì)整體云計(jì)算策略的效果如何，并且可以相應(yīng)地對(duì)其進(jìn)行調(diào)整。當(dāng)企業(yè)考慮將業(yè)務(wù)遷移到云平臺(tái)時(shí)，就必須制定云安全規(guī)劃。此外，優(yōu)先考慮安全策略有助于企業(yè)避免很多問題。企業(yè)可以使用AWS Web應(yīng)用程序防火墻(WAF)責(zé)任共擔(dān)模型。WAF還有助于實(shí)施綜合戰(zhàn)略，其中包括數(shù)據(jù)保護(hù)、合規(guī)性驗(yàn)證、日志記錄和監(jiān)控、身份和訪問管理、基礎(chǔ)設(shè)施安全性和彈性。

2.將安全性應(yīng)用于所有層

在將安全性作為云計(jì)算規(guī)劃的關(guān)鍵部分之后，第二個(gè)AWS安全實(shí)踐是將安全性應(yīng)用在所有層。這種方法也稱為“深度防御”，它使用多種機(jī)制來保護(hù)企業(yè)的云計(jì)算環(huán)境。例如，在基礎(chǔ)設(shè)施中如果只有一個(gè)防火墻，這對(duì)企業(yè)的業(yè)務(wù)是不利的。其理想的方法是在所有虛擬網(wǎng)絡(luò)上安裝虛擬防火墻，以監(jiān)控和控制網(wǎng)絡(luò)流量，并保護(hù)在其上運(yùn)行的基礎(chǔ)設(shè)施和操作系統(tǒng)。AWS WAF就是這樣一種安全解決方案，可幫助企業(yè)有效地控制網(wǎng)絡(luò)流量。借助AWS WAF，企業(yè)可以使用基于攻擊模式的安全規(guī)則來控制應(yīng)用程序的流量，并且每一層都有獨(dú)立的防火墻。WAF還讓企業(yè)能夠設(shè)置排除某些流量模式的自定義規(guī)則。托管規(guī)則和預(yù)配置規(guī)則可以幫助企業(yè)快速輕松地設(shè)置Web應(yīng)用程序防火墻。第三方服務(wù)也可以與AWS云平臺(tái)集成，以將安全性應(yīng)用于網(wǎng)絡(luò)層。

3.創(chuàng)建全面的安全策略

企業(yè)需要圍繞安全性創(chuàng)建全面的策略并使其保持更新。如上所述，云安全是客戶和AWS公司的共同責(zé)任。盡管如此，AWS公司為保護(hù)云服務(wù)提供了豐富的安全功能生態(tài)系統(tǒng)，但用戶仍有責(zé)任創(chuàng)建策略，以加強(qiáng)云平臺(tái)中的安全性并保護(hù)其基礎(chǔ)設(shè)施。最佳實(shí)踐是讓安全團(tuán)隊(duì)參與設(shè)置策略，并確保定期審查文檔以獲取最新的安全更新。包括針對(duì)AWS帳戶、角色和用戶在內(nèi)的所有安全措施將有助于系統(tǒng)正常運(yùn)行。

借助互聯(lián)網(wǎng)安全中心(CIS)基準(zhǔn)，AWS公司提供定義明確且有效的最佳實(shí)踐，以幫助企業(yè)提高安全性。AWS的CIS基準(zhǔn)包括四個(gè)部分，身份和訪問管理、日志記錄、監(jiān)控、網(wǎng)絡(luò)。AWS安全最佳實(shí)踐建立了定義明確且可靠的指南，以確保遵循合規(guī)性、安全性和訪問管理。

這些實(shí)踐的組合有助于制定可靠和強(qiáng)大的安全策略，并啟用確保持續(xù)合規(guī)性的各種工具。

4.最小特權(quán)策略

忽視用戶訪問是AWS云平臺(tái)上常見的錯(cuò)誤之一。因此，監(jiān)控用戶對(duì)數(shù)據(jù)庫(kù)的訪問并發(fā)現(xiàn)他們的目的至關(guān)重要。企業(yè)可以確保只有使用AWS訪問控制策略的授權(quán)用戶才能訪問云計(jì)算環(huán)境。限制用戶創(chuàng)建具有電子郵件地址的帳戶，并將策略附加到單個(gè)用戶是實(shí)施用戶訪問控制的有效措施之一。最低特權(quán)策略包括日志分析、訪問評(píng)估和SIEM工具。此外，如果應(yīng)用程序使用外部數(shù)據(jù)源，那么數(shù)據(jù)完整性驗(yàn)證和動(dòng)態(tài)數(shù)據(jù)加密等控制是一些有效的方法。

5.定期備份數(shù)據(jù)

定期進(jìn)行數(shù)據(jù)備份是必須的措施，但仍然被客戶忽視。借助AWS安全服務(wù)，企業(yè)可以定期在云平臺(tái)上備份數(shù)據(jù)。這些解決方案可以幫助企業(yè)管理和自動(dòng)化數(shù)據(jù)備份。數(shù)據(jù)備份是安全策略中的重要組成部分。數(shù)據(jù)備份可以應(yīng)對(duì)勒索軟件攻擊，并幫助企業(yè)快速恢復(fù)數(shù)據(jù)。AWS Backup、Amazon RDS、AWS Storage Gateway等多樣化的AWS解決方案，可以為數(shù)據(jù)庫(kù)、強(qiáng)大的卷和文件系統(tǒng)執(zhí)行數(shù)據(jù)備份。

6.安全事件響應(yīng)

安全事件響應(yīng)用來解決和管理安全漏洞，應(yīng)對(duì)網(wǎng)絡(luò)攻擊，它會(huì)使損害最小化。如果服務(wù)器受到威脅，它會(huì)隔離并保護(hù)數(shù)據(jù)，即使是在一些組件受到威脅的情況下也是如此。在AWS Backup中恢復(fù)數(shù)據(jù)時(shí)，會(huì)使用正在恢復(fù)的數(shù)據(jù)創(chuàng)建新的備份，并且為每次恢復(fù)指定參數(shù)。在使用AWS Backup控制臺(tái)恢復(fù)數(shù)據(jù)的情況下，具體的恢復(fù)參數(shù)將會(huì)自動(dòng)出現(xiàn)。Amazon S3、Amazon Storage Gateway、Amazon Elastic Block Storage和Amazon Glacier是一些用于恢復(fù)數(shù)據(jù)的工具。AWS云平臺(tái)也可以與其他外部數(shù)據(jù)備份工具很好地集成。

7.數(shù)據(jù)加密

使數(shù)據(jù)加密成為一種規(guī)則。即使黑客試圖進(jìn)入企業(yè)的云計(jì)算環(huán)境，加密數(shù)據(jù)也會(huì)形成一道防御屏障，保護(hù)企業(yè)的數(shù)據(jù)和信息。AWS公司提供的AWS加密工具使用可擴(kuò)展的密鑰管理，支持使用加密密鑰的各種操作，如輪換、創(chuàng)建和審計(jì)。加密數(shù)據(jù)有助于確保保存敏感數(shù)據(jù)，并且在沒有驗(yàn)證密鑰的情況下，任何用戶都無法讀取敏感數(shù)據(jù)。密鑰管理服務(wù)(KMS)讓企業(yè)能夠在AWS中加密敏感數(shù)據(jù)和檢索加密密鑰。

AWS KMS通過與AWS云跟蹤集成，企業(yè)可以監(jiān)控誰使用了哪些密鑰、哪些資源以及何時(shí)使用。AWS服務(wù)使用TLS協(xié)議在企業(yè)的應(yīng)用程序和AWS服務(wù)之間提供加密措施。AWS KMS可以為客戶管理硬件安全模塊(HSM)。對(duì)于每項(xiàng)AWS服務(wù)，企業(yè)都可以處理客戶數(shù)據(jù)、加密動(dòng)態(tài)數(shù)據(jù)。AWS加密服務(wù)包括Amazon Secrets Manager、Amazon DynamoDB和AWS Encryption SDK。

8.實(shí)施強(qiáng)大的網(wǎng)絡(luò)安全協(xié)議

AWS公司提供的安全措施不足以完全保護(hù)其網(wǎng)絡(luò)。“責(zé)任共擔(dān)模型”是確保AWS云安全的無可挑剔的做法。除了AWS的安全措施之外，它明確了用戶的責(zé)任。安全團(tuán)隊(duì)在這一過程中的早期參與可確保從第一天起就考慮安全措施。AWS中的身份聯(lián)合是兩方之間的信任系統(tǒng)，用于對(duì)用戶進(jìn)行身份驗(yàn)證并傳達(dá)授權(quán)其訪問所需的信息。AWS支持常用的開放標(biāo)識(shí)標(biāo)準(zhǔn)，包括SAML 2.0、OpenID Connect(OIDC)和OAuth 2.0。Active Directory聯(lián)合服務(wù)(ADFS)是AWS中的一種Web服務(wù)，允許在企業(yè)網(wǎng)絡(luò)外部共享身份信息。可以使用用戶的用戶名和密碼訪問該服務(wù)。IAM身份提供程序可用于管理AWS外部的用戶身份，并向用戶授予訪問AWS資源的權(quán)限。

結(jié)語

隨著AWS云服務(wù)的增長(zhǎng)，人們?cè)絹碓叫枰P(guān)注AWS云平臺(tái)基礎(chǔ)設(shè)施的安全性。企業(yè)需要了解最新變化，并采取更全面的安全措施。通過采用有效的AWS云安全實(shí)踐，企業(yè)可以利用AWS服務(wù)來最大限度地提高敏捷性。