什麼是 AWS 容器安全？

AWS Container Security 可保護 AWS 架構，涵蓋從資料中心到網路的各個層面，並保護雲端工作負載免受各種網路安全攻擊。AWS 容器安全遵循共同責任模型。其負責維護雲端資料的完整性並確保持續合規。

Amazon Web Services (AWS) 以提供雲端儲存、運算能力、內容傳遞及其他專屬功能給組織而聞名。企業偏好 AWS 容器，因其應用程式設計與部署快速且易於使用。將分析與 Blockchain 技術整合至容器中，以及在多雲與混合環境中保護主機作業系統，也同樣便利。 

AWS 安全性 可以很簡單；結果取決於組織用來防禦資產的解決方案。以下我們將概述 AWS 中的容器安全，並介紹業界最新的 AWS Container Security 最佳實務。

什麼是 AWS 容器安全？

容器化是一種熱門的軟體開發趨勢，可簡化應用程式的部署與擴展。AWS 容器因託管雲端型工作負載以及協助組織更清楚了解其安全責任而廣受知名。

AWS Container Security 具備容器威脅建模功能，並可觀察容器化工作負載，以協助偵測環境中的異常行為。

身分與存取管理 (IAM) 和基礎架構安全是 AWS 容器安全的兩個關鍵要素。它們對於定義與管理在 ECS 資源中實作的安全政策至關重要，並可透過避免權限提升來縮小攻擊面。使用者可將第三方解決方案與 AWS 整合，而 Amazon ECR 會套用靜態加密，讓使用者能將映像儲存在專用的 Amazon S3 儲存貯體中。

容器在 AWS 上如何受到保護？

AWS 提供超過 210 項安全性、合規性與治理功能，使 AWS 上的容器更加安全。使用 AWS 保護工作負載的最大優勢在於其遵循共同責任與客戶責任相結合的模式。AWS 容器服務如 EKS、ECS 和 FarGate，可確保持續可靠性與高可用性，並具備橫跨 Amazon 高可用性基礎架構的原生整合功能。 

ECS 容器服務讓組織能夠設定 AWS 服務，而所有 AWS 服務與任務皆由 FarGate 提供的無伺服器基礎架構支援。

AWS 容器安全期間需要考量的事項

使用者在執行安全檢查時，需要測試 AWS 容器的帳戶憑證。AWS 滲透測試 與傳統內部部署滲透測試不同，且這些測試中的資產所有權也有所差異。若滲透測試違反 AWS 供應商政策或違反 AWS 服務條款 (ToS)，可能會引發 AWS 事件回應團隊採取法律行動。 

在雲端環境中部署容器之前，安全團隊需要考量以下幾個面向： 

• 靜態分析 – 靜態分析測試可識別原始碼中的安全弱點，並掃描其結構缺陷。靜態分析測試可偵測有問題的模式，並讓修正工作更容易進行。 
• 程式碼稽核 – 某些 容器安全 工具有內建程式碼稽核功能。程式碼稽核是標準的軟體開發實務，也會掃描相依性。 
• 整合測試 – 整合測試會暴露容器化應用程式最薄弱的區域與隱藏問題。它們可揭露網路中會洩露哪些敏感資訊，以及在遭受攻擊或發生資料外洩時，應用程式是否能正常運作。 
• 程式碼審查 – 程式碼審查會分析原始碼中的弱點、不安全的編碼實務及其他重大錯誤。資深開發人員可追蹤變更、審查提交與提取請求，以確保編輯內容符合專案需求。這也能透過處理基礎問題來防止引入新的安全問題。 

在執行任何 AWS 遷移之前，安全測試人員也應考量合規性與政策違規問題。務必確保安全措施符合最新的產業標準，而找出安全弱點的理想方式是進行滲透測試。許多 AWS 資源未實作足夠的多重要素驗證，也未使用網路分段，因此在大規模雲端部署期間，務必將權限限制給正確的使用者。Amazon 允許客戶對 AWS 資產執行安全評估，且允許使用者進行以下測試：注入、模糊測試、弱點掃描、利用與偽造檢查，以及連接埠掃描。具備 DoS 能力的工具或服務不得在測試期間使用。

AWS 容器安全的最佳實務有哪些？

AWS 容器極為輕量、可擴展且可攜，並以在 AWS 與雲端環境中封裝及部署應用程式而聞名。AWS Elastic Container Service (ECS) 和 Amazon Elastic Kubernetes Service (EKS) 有助於實現最高安全性，而保護容器化環境的方法也有很多。

最佳的 AWS 容器安全實務包括：

• 遵循最小權限存取原則 – 使用者應設定雲端帳戶，並為所有對象實作最小權限存取程式碼。理想做法是採用資源層級權限，並為叢集設定管理邊界。安全團隊可建立管線，自動在 Amazon ECS 叢集間封裝與部署應用程式，並將使用者與 Amazon ECS API 隔離。 
• 保護容器映像 – 建議定期掃描並更新容器映像，以降低各種弱點風險。對組織而言，掃描 Docker 容器映像並最佳化 AWS 中的容器安全 是有效率的做法。驗證容器映像來源並確保映像來自可信任的發佈者至關重要。已簽署的容器映像有助於追蹤容器，並降低惡意程式碼進入或遭竄改的可能性。 
• 實作雙因素驗證 – 實作多因素或雙因素驗證可為 AWS 資產增加額外的安全層。它可強制執行安全政策，並透過要求實體存取裝置以接收驗證 OTP，防止攻擊者劫持帳戶。
• 改善網路/執行階段安全性 – 使用者可建立獨立的虛擬網路，並透過除 SSH 外不暴露任何連接埠來提升執行階段安全性。將 IP/安全群組加入允許清單也是另一項有效措施，而使用 TLS 1.3 加密則可保護與網路流量及端點安全相關的通訊。使用 VPC、防火牆與網路規則來監控並限制 VPC、VM 與網際網路之間的通訊，也是良好實務。
• 機密管理 – 良好的 AWS 容器安全會保護不安全的 API 金鑰、移除未使用的金鑰，並定期輪替加密金鑰。使用者可使用工具防止雲端憑證外洩。靜態分析可偵測並保護公開與私有儲存庫中的硬式編碼機密，例如權杖、密碼和 API 金鑰。
• 持續合規 – 持續合規監控與管理是另一項良好的 AWS 容器安全掃描實務。安全團隊必須確保容器化應用程式符合最新的產業標準，例如 PCI-DSS、NIST、HIPAA 等。使用者應加密靜態資料並啟用完整記錄，也可部署覆疊網路來加密 PHI 資料傳輸，作為額外的安全措施。
• 記錄與監控 – 使用者應審查所有稽核記錄，以偵測未經授權的動作與行為。將 Cloudwatch 警示與 SNS 結合使用，可協助組織即時接收關鍵指標的警報。即時程式碼掃描也應成為記錄與監控流程的一部分。
• 其他提示 – ECR 內建映像掃描可協助偵測容器映像中的弱點。建議使用 IaC 掃描工具來協助偵測錯誤設定，並在基礎架構建立或更新之前進行驗證。 

SentinelOne 如何協助 AWS 容器安全？

SentinelOne 正在革新雲端安全透過提供尖端的 AWS 容器安全解決方案。該平台提供新一代威脅情報與集體分析，並具備與 AWS Partner Network 的 AWS 合作夥伴關係，為全球客戶帶來卓越價值。SentinelOne 的價值主張透過其最先進的攻擊性安全引擎得以強化，協助組織因應警示疲勞問題。其旗艦引擎可整合多家廠商的雲端安全視圖，提供無縫控制以強化防禦，並使組織能夠領先對手。

攻擊者正在尋找新的方法來發動複雜攻擊並破壞安全性原則。SentinelOne 透過產生 ECS/Kubernetes 叢集的圖形化視覺呈現、偵測雲端環境中的錯誤設定，以及為所有已連線叢集中的每個容器映像產生 SBOM，強化 AWS 容器安全性。SentinelOne 會即時掃描 GitHub、GitLab、BitBucket 等眾多平台中超過 750+ 種類型的機密資訊。SentinelOne 全面的 AI 驅動CNAPP可保護端點、身分與雲端各領域的所有攻擊面。它可即時提供數位環境的可視性，並支援超過 20 項整合與 7 項 AWS competency。您可以透過 AWS Backup 和 Amazon Elastic Disaster Recovery 提升整合的韌性。

作為領先的容器安全工具，SentinelOne 為雲端 VM、無伺服器函數和容器提供 360 度安全防護。它透過 Cloud Detection and Response 功能，支援即時威脅調查與修復。 

此平台可監控 AWS、Azure 和 GCP 的 IaC 指令碼是否存在錯誤設定，並支援各種 IaC 範本，例如 CloudFormation、Terraform、Helm 和 Kubernetes。SentinelOne 也可對 VM 執行無代理掃描，並進行零時差弱點評估。它提供進階的威脅狩獵能力，並為 Amazon EC2、EKS、ECS、S3、FSxN 和 NetApp filers 提供即時防護。

See SentinelOne in Action

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo

結論

管理 AWS 容器安全具有挑戰性，但我們已在本文中為現代組織概述了最佳實務。選擇像 SentinelOne 這樣的解決方案，有助於降低關鍵安全弱點，並採取適當的威脅修復措施來保護企業。如果您剛接觸雲端，您可以從傳統基礎架構遷移、擴展規模，並使用 SentinelOne 安全地建置您的雲端基礎架構。它提供所有工具與功能，以確保您的 AWS 資產安全。