Live:CloudOps Webinars & Hands-on Workshops ·Register ↗
跳到主要内容

安全专业人员

组织中的安全专业人员从事多种角色和职责，每种角色都需要各种技能和工具来有效保护云基础设施、应用程序和资源。从设计强大云安全框架的安全架构师到监控和响应威胁的安全运营团队，您在 AWS 上的安全之旅需要针对特定角色的最佳实践和工具。

本指南概述了针对关键安全角色的定制安全方法：安全架构师专注于实施 AWS Well-Architected Framework 的安全支柱和设计安全 Landing Zone，安全运营团队利用 AWS Security Hub 和 Amazon GuardDuty 进行威胁检测和响应，合规管理人员利用 AWS Audit Manager 和 AWS Config 维护监管标准，安全工程师使用 AWS IAM、AWS KMS 和 AWS Network Firewall 等服务实施基础设施安全。

了解这些特定角色的需求有助于组织构建全面的安全计划，解决每个安全角色的独特挑战和职责，同时在整个 AWS 环境中维持强大的安全态势。

安全编码实践和安全开发生命周期​

AWS 通过其"安全设计"原则强调安全是软件开发的基础要素。您可以实施安全编码实践，在整个开发生命周期中集成安全控制和合规要求。这些实践与 OWASP Top 10 等行业标准保持一致，帮助在整个应用程序生命周期中维持强大的安全态势。

  • 实施基础设施即代码 (IaC) 以确保一致的、版本控制的安全配置，使用集成了安全扫描的 AWS CodeBuild，以及部署 AWS CodePipeline 进行自动化安全测试。

  • AWS 责任共担模型指导您了解安全职责，而 Amazon CodeGuru Reviewer 等服务可自动识别安全漏洞并建议修复步骤。

  • AWS 建议在所有阶段实施安全控制——从设计和开发到测试、部署和维护。关键实践包括使用 AWS Secrets Manager 进行安全凭证处理、实施 AWS WAF 进行应用程序保护，以及利用 Amazon Inspector 进行持续安全评估。

身份和访问管理最佳实践​

AWS 建议将最小权限原则作为身份和访问管理 (IAM) 策略的基石。您应该首先创建单独的 IAM 用户而不是使用 root 账户进行日常云操作，实施强密码策略并定期轮换凭证。AWS 支持对特权用户和 root 账户使用多因素认证 (MFA)，特别是对敏感操作。

  • AWS Organizations 让您可以集中管理和治理多个账户，同时使用服务控制策略 (SCP) 和资源控制策略 (RCP) 在整个组织中建立权限护栏。对于精细的访问控制，您可以使用基于属性的访问控制 (ABAC) 和 IAM 标签，减少需要维护的策略数量。

  • 您可以使用 AWS IAM Identity Center（前身为 AWS Single Sign-On）集中管理跨 AWS 账户和业务应用程序的访问。

  • 使用 AWS IAM Access Analyzer 进行定期访问审查有助于识别和删除未使用的权限，而 AWS CloudTrail 提供详细的 API 活动日志记录用于安全分析和合规审计。

这些实践与 AWS Well-Architected Framework 的安全支柱保持一致，帮助在大规模管理身份的同时维持强大的安全态势。

数据加密和保护指南​

AWS 通过深度防御方法提供全面的数据保护能力，强调静态和传输中的加密。

  • 您可以使用 AWS Key Management Service (AWS KMS) 创建和控制加密密钥来保护静态数据，而 AWS Certificate Manager (ACM) 帮助使用 TLS 证书保护传输中的数据。

  • 对于您的 Amazon S3 数据，您可以使用 AWS KMS 密钥 (SSE-KMS)、S3 托管密钥 (SSE-S3) 或客户提供的密钥 (SSE-C) 实施服务器端加密。AWS 建议默认加密 Amazon EBS 卷、RDS 实例和 DynamoDB 表，根据您的合规要求使用 AWS 托管密钥或客户托管密钥。

  • 为了维护数据主权，您可以使用 AWS CloudHSM 进行基于硬件的密钥存储，使用 AWS Macie 自动发现和保护敏感数据。传输数据时，AWS PrivateLink 提供无需使用公共互联网即可安全连接到 AWS 服务的能力，而 AWS Transfer Family 确保使用 SFTP、FTPS 和 FTP 协议的安全文件传输。

  • 此外，实施 Amazon S3 Object Lock 和版本控制有助于防止意外或恶意删除，而 AWS Backup 在您的 AWS 资源之间创建加密备份。这些加密机制符合 HIPAA、PCI DSS 和 GDPR 等合规标准。

合规和风险管理框架​

AWS 维护着强大的合规和风险管理计划，与全球标准和法规保持一致，同时为您提供工具和资源以支持您自己的合规之旅。AWS 合规计划通过第三方审计、认证和证明（如 ISO 27001、SOC 报告和 PCI DSS）帮助您了解 AWS 实施的全面控制。

  • 您可以使用 AWS Audit Manager 根据行业标准和内部策略持续评估您的 AWS 使用情况，而 AWS Config 提供详细的资源配置跟踪和合规监控。

  • 对于受监管行业，AWS Control Tower 帮助使用基于 AWS 最佳实践的护栏建立和维护安全、合规的多账户环境。

  • AWS Security Hub 集中跨账户的安全发现和合规检查，与 Amazon Inspector 等服务集成用于自动化安全评估，与 Amazon GuardDuty 集成用于威胁检测。

  • AWS Artifact 提供按需访问安全和合规报告的能力，允许您向审计人员展示合规性。AWS 风险与合规白皮书概述了 AWS 责任共担模型，帮助您了解哪些合规要求由 AWS 管理，哪些仍是您的责任。

这些工具和框架支持各种监管要求，包括 HIPAA、GDPR、FedRAMP 和区域数据保护法律。

漏洞管理和渗透测试策略​

AWS 通过结合自动化工具和手动评估能力的结构化方法支持全面的漏洞管理和渗透测试。

  • 您可以在无需事先批准的情况下对八种特定服务的 AWS 基础设施进行允许的渗透测试，包括 Amazon EC2 实例、NAT 网关和 Elastic Load Balancers。AWS Inspector 自动评估应用程序的漏洞和与安全最佳实践的偏差，而 Amazon GuardDuty 提供持续的安全监控以检测威胁和未授权行为。

  • 对于容器安全，Amazon ECR 扫描帮助识别容器镜像中的漏洞，AWS Systems Manager Patch Manager 自动化您的 AWS 资源的补丁管理流程。您可以使用 AWS Security Hub 聚合和优先排列来自多个 AWS 服务和合作伙伴工具的安全发现来加强安全态势。AWS 还建议实施 Amazon Detective 来分析和可视化安全数据，以深入调查潜在的安全问题。

  • 对于 Web 应用程序，AWS WAF 帮助防御常见的利用技术，而 AWS Shield 提供 DDoS 防护。AWS Marketplace 提供额外的第三方安全工具用于漏洞扫描和渗透测试，这些工具可与您的 AWS 环境集成。

定期安全评估应遵循 AWS 可接受使用政策和安全测试指南以维持合规性，同时识别潜在漏洞。

事件响应和威胁狩猎技术​

AWS 通过集成的安全服务和自动化能力提供全面的事件响应和主动威胁狩猎框架。

  • 您可以将 AWS Security Hub 实施为安全警报的中央指挥中心，而 Amazon GuardDuty 使用机器学习在您的 AWS 账户和工作负载中执行持续威胁检测。

  • 对于事件响应自动化，您可以使用 AWS Systems Manager Incident Manager 通过预定义的响应计划和自动化 Runbook 来管理、解决和分析安全事件。

  • Amazon Detective 帮助您分析和可视化安全数据以识别潜在安全问题的根因，而 AWS CloudWatch Logs Insights 支持实时日志分析用于威胁狩猎。

  • AWS CloudTrail Lake 功能允许您对 API 活动历史记录运行基于 SQL 的查询进行取证调查。

  • 您可以通过实施 Amazon EventBridge 进行安全事件的自动化响应和 AWS Lambda 进行无服务器事件修复来增强安全态势。AWS 建议建立 VPC Flow Logs 用于网络可观测性 和 DNS 查询日志记录用于网络流量分析，而 AWS Config 记录资源配置用于合规分析和事件调查。

这些能力通过 Amazon Kinesis Data Firehose 与您现有的安全信息和事件管理 (SIEM) 解决方案集成，实现集中安全监控和自动化事件响应工作流。

结论​

通过实施这些支持组织中安全角色的安全服务、工具和实践，客户可以更好地保护其 AWS 工作负载，同时使安全团队更有效地工作。首先确定组织的关键安全角色，然后将其职责映射到相应的 AWS 服务和工具。请记住，随着云环境的发展，定期审查和更新这些基于角色的安全实践。您可以使用 AWS Security Hub 和 AWS Organizations 来维护跨账户的可见性，并根据角色需求自动化安全检查。有关实施安全最佳实践的更多指导，请联系 AWS 账户团队，他们可以帮助您设计适合组织需求的全面安全策略。