什麼是 AWS Cloud Workload Protection Platform (CWPP)?

數位資產的安全性從未如此重要，尤其是在當今以雲端為中心的環境中。這正是雲端安全的基礎，也是 AWS CWPP (Cloud Workload Protection Platform) 的核心。根據 Cybersecurity Ventures 的資料，網路犯罪造成的損失將在 2025 年達到 10.5 兆美元。此外，根據近期的一份報告，82% 的所有資料外洩事件都與人為因素有關，包括社交攻擊、錯誤與濫用。

AWS CWPP 可作為 AWS 雲端基礎架構的防禦者。AWS CWPP 提供所需的各種協助，從發現弱點到有效處理威脅／威脅行為者。它會採取措施防止這些事件一開始就發生，讓您的雲端營運順暢且安全地運作。

AWS CWPP 依據安全工具與雲端原生基礎架構，為雲端工作負載與應用程式提供高等級的安全性。此安全解決方案有助於正確保護工作負載，同時不會干擾合規工作；隨著聯邦與企業層級在資料保護方面的複雜要求日益增加，這一點也變得更加重要。

本篇部落格將討論 AWS Cloud Workload Protection Platform，也就是 CWPP，其有助於保護雲端型資產。本文將說明該平台的架構、元件、網路安全方法、容器與無伺服器應用程式的保護、資料保護措施、存取管理、真實世界使用案例、監控與記錄，以及實作最佳實務。這些解決方案提供強大的工具，有助於維持雲端基礎架構的安全與防護。

在深入探討之前，值得注意的是，AWS 並沒有名為「CWPP」的獨立產品；這個概念是指在 AWS 內整合使用多種 AWS 安全解決方案來保護雲端工作負載，因此稱為 CWPP。

AWS CWPP 的核心架構

AWS CWPP 是一個強大且可擴充的框架，可在 AWS 環境中提供端對端保護。為了更了解 AWS CWPP，讓我們更仔細地看看其架構。

分散式代理程式型系統

AWS CWPP 使用分散式代理程式模型來監控並保護您在 Amazon Cloud 中的任何雲端資源。代理程式是部署於整個 AWS 基礎架構中的小型軟體元件。它們是本機監控機制，會收集有關您資源狀態與活動的詳細資訊。它們會透過分析本機資料來尋找可能的弱點。這種分散式實作表示，無論雲端環境的規模或複雜度如何，任何惡意或規避行為都會被即時偵測並回應。

集中式管理主控台

當代理程式在您的基礎架構中執行工作時，所有這些發現都會匯集到管理主控台中的共同位置。此主控台是 AWS CWPP 的大腦。它是所有資料匯聚的單一位置，可提供整合式的安全態勢檢視。您可使用此主控台檢視警示、調查事件，並關聯事件期間的行為以建立組織安全政策。

與 AWS 服務整合

此整合可實現優先威脅資料的共享與協調回應，以提升安全性。它包含可搭配 AWS Identity and Access Management (IAM) 權限運作的內建設定，以進行細緻的存取控制。

資料流與處理管線

AWS CWPP 的核心在於其成熟的資料流與處理管線。資料會從不同來源收集，例如分散式代理程式、AWS 服務日誌以及網路流量。這些資料會送入 CWPP 的處理引擎。它們會使用進階演算法與機器學習模型分析資料，以尋找模式、異常或潛在威脅。經處理後的資料接著會流經 CWPP 的各個元件。其中一部分資料會傳送至中央主控台，以進行視覺化與報告。其他資料則可設定為觸發自動化回應與通知。此管線可讓您隨時掌握最新的安全性資料，進而提升您做出明智決策並快速回應這些威脅的能力。

AWS CWPP 的關鍵元件

AWS CWPP 的骨幹由以下四個要素組成：

• Amazon GuardDuty

GuardDuty 是 AWS CWPP 時刻警戒的安全守衛。此工具會監控您所有的 AWS 帳戶與工作負載，尋找任何惡意活動或未經授權行為的跡象。GuardDuty 包含機器學習、異常偵測與整合式威脅情報。其能力涵蓋例如來自已知惡意 IP 位址的 API 呼叫、任何資料傳輸嘗試，以及與已知命令與控制伺服器通訊的執行個體。

• AWS Security Hub

Security Hub 可全面檢視您在 AWS 內的安全狀態，並可良好地與第三方工具整合。它會收集資料，然後加以處理以取得洞察，協助找出安全疑慮。它更進一步，會依據產業安全標準與最佳實務驗證您的環境。Security Hub 最大的優勢之一，是能以標準化形式為您提供彙總、組織與優先順序。

• Amazon Inspector

使用 Amazon Inspector 進行自動化安全評估，有助於持續監控與分析 AWS 帳戶層級的行為，以發現可能的惡意活動。它會透過自動依據最佳實務與弱點暴露情況進行檢查，協助提升部署於 AWS 上之應用程式的安全性與合規性。Inspector 評估有兩種類型。

1. 網路評估會掃描您的 EC2 執行個體的網路可存取性，以及與其相關的安全風險。
2. 主機評估會分析您的 EC2 執行個體中的弱點與錯誤設定。

• AWS Config

AWS Config 可讓我們非常廣泛地檢視帳戶中 AWS 資源的組態，例如哪些資源彼此相關，以及它們先前是如何設定的。它會監控您的 AWS 資源組態並維護歷史資料，讓您可以將其目前狀態與理想狀態進行比對。AWS Config 最大的優勢之一，是能協助您了解變更特定資源可能如何影響其他資源。

AWS CWPP 網路安全策略

保護雲端的關鍵面向，在於使用 AWS CWPP 為網路基礎架構提供的強固防護措施。以下服務可確保網路受到攻擊防護。

1. AWS Network Firewall 整合

網路防火牆可讓您建立具狀態感知功能且內建規避防護的防火牆。您可以在來源與目的地 IP、來源與目的地連接埠，以及通訊協定層級定義政策。

在此控制層級下，您可以實作縱深防禦安全策略。除了其他 CWPP 元件之外，您的 CWPP 還可使用 Network Firewall 記錄來改善威脅偵測。

2. Security Groups 與 Network ACL

Security groups 與 network Access Control Lists 是 AWS 網路安全的基石。CWPP 可協助您管理 Security Groups 與 Network ACL。

Security Groups 可作為 Amazon EC2 執行個體周圍的虛擬防火牆，在執行個體層級控制傳入與傳出流量。Network ACL 的作用方式類似，但其作用層級是來自虛擬防火牆的子網路層級。

3. VPC Flow Logs 分析

VPC (Virtual Private Cloud) flow logs 會記錄透過您 VPC 傳輸的所有流量資訊。結合 CWPP 後，這些資料可用於提供網路流量模式與潛在安全弱點的洞察。

在其進階分析系統的協助下，CWPP 可偵測看似異常的流量行為，這可能表示存在安全問題。例如，它可以識別異常通訊行為、資料外洩活動，或與惡意 IP 位址的直接通訊。於事後分析中使用來自 VPC flow logs 的資訊，也有助於鑑識調查。

4. DDoS 防護機制

CWPP 使用 AWS Shield，這是一項內建的 DDoS 安全功能，來進行攻擊緩解。使用已包含在 CWPP 中的 AWS Shield Regular 層級，您的資源會自動受到主要網路與傳輸層 DDoS 攻擊的保護。  對於複雜攻擊，則會使用 AWS Shield Advanced 層級，其提供更詳細的 DDoS 回應框架。

在 DDoS 防護方面，CWPP 也可能提供即時 DDoS 威脅警示。它會觀察流量資料，並在出現任何流量尖峰或其他顯示可能發生 DDoS 嘗試的訊號時通知您。CWPP 也可與 AWS WAF 互動，以建立自訂安全政策，保護您的軟體免受最典型且最常見的 DDoS 攻擊。

使用 AWS CWPP 的容器與無伺服器保護

AWS Cloud Workload Protection (CWPP) 為您的容器與無伺服器工作負載提供完整保護，確保現代應用程式安全。此領域中的一些基本功能如下：

使用 Clair 的 ECR 映像掃描

Amazon ECR 是一項全受管的容器登錄服務。它用於儲存、管理及部署 Docker 映像。隨著 AWS CWPP 的推出，透過與 ECR 整合並使用 Clair（開源弱點掃描器），即可提供容器映像的自動化掃描。

當您將映像推送至 ECR 後，該映像就會被掃描。此掃描會檢查作業系統套件、語言相依性等中已揭露的已知與新弱點。之後，結果會顯示在 ECR 內，並可與其他 CWPP 元件結合使用。

ECS 與 EKS 執行階段監控

AWS 提供 Amazon Elastic Container Service (ECS) 與 Amazon Kubernetes Service (EKS) 用於容器協調。在 ECS 中，CWPP 與 AWS Fargate 代理程式搭配運作，以觀察執行中的容器行為。它會回報可疑程序、不尋常的網路連線，以及潛在的權限提升。

對於 EKS，CWPP 會以 DaemonSet 形式整合，以確保 Kubernetes 叢集中的每個節點都受到監控。它可深入了解容器彼此之間的通訊方式，並可偵測政策違規或安全威脅，例如未經授權存取 Kubernetes API 伺服器與加密貨幣挖礦。

Fargate 專屬安全控制

AWS Fargate 是一項以容器為基礎、與 ECS 和 EKS 相容的無伺服器運算服務。CWPP 提供一組專為此運算引擎設計的安全方法。CWPP 會監看您的 Fargate 工作定義，讓您注意到權限過於寬鬆的 Amazon IAM 角色或開放連接埠。它會藉由檢查 Fargate 工作的網路設定來驗證您的政策。其中一項重要特性是能夠維護僅適用於您 Fargate 工作負載的執行階段規則。

Lambda 函數安全性

AWS Lambda 是無伺服器運算中的領先產品，因此以整體性方法使用 CWPP 來保護您的 AWS Lambda 函數是合理的。CWPP 可找出您 Lambda 函數程式碼與網路中的弱點及錯誤設定。這包括靜態程式碼分析，以及尋找硬式編碼的密鑰、權限寬鬆的 IAM 角色，以及函數相依性中的已知弱點。

AWS CWPP 資料保護策略

讓我們討論 AWS CWPP 所提供的一些資料保護策略。

#1. 用於加密的 KMS 整合

AWS Key Management Service (KMS) 是 AWS 資料保護的核心，而 CWPP 與 KMS 緊密整合以提供 加密 功能。此平台使用 KMS 來處理各種 AWS 服務的加密金鑰。

它會追蹤不同 API 金鑰的使用情況，並在出現任何異常模式時發出注意。這可能表示有人複製了該金鑰，而它可能已落入錯誤的人手中。此平台也會確保您以正確方式使用 KMS。

#2. S3 儲存貯體政策分析

Amazon S3 物件儲存是非常受歡迎的 AWS 服務，而保護您的 S3 儲存貯體以防止資料遺失至關重要。CWPP 平台可確保持續稽核您的 S3 儲存貯體政策，以找出任何錯誤設定。若某個 S3 儲存貯體可公開存取且具有讀取或寫入權限，它也可能向您發出警示。

#3. DynamoDB 加密與監控

CWPP 具備適用於 Amazon DynamoDB 的保護功能。它可確保您的 DynamoDB 資料表已加密、追蹤其存取方式，並可針對任何安全風險提出最佳實務建議（如有需要）。CWPP 會掃描您所有的 DynamoDB 資料表，以確保其靜態資料已加密。它也會根據您的安全政策與產業最佳實務，以類似方式檢查加密設定。

#4. 資料存取模式分析

AWS CWPP 可在您的 AWS 環境中提供更全面的資料存取模式分析。這種可視性可確保您能在所有服務的應用程式層級注意到安全風險，而不僅僅是單一服務。

CWPP 會檢視不同 AWS 服務中的存取記錄。它利用這些記錄拼湊出在您的環境中典型的資料存取樣貌。它實際上依賴機器學習演算法來發現這些模式中的異常行為。

AWS CWPP 的存取管理方法

存取管理是 雲端安全 的核心，而 AWS CWPP 最佳實務可確保只有正確的人員與程序能存取您的資源。讓我們來探討 CWPP 存取管理策略的主要支柱。

• IAM 角色與政策管理

AWS Identity and Access Management (IAM) 是 AWS 中存取控制的基石，CWPP 也不例外。該平台會持續稽核 IAM 角色與政策，檢查是否存在權限過度寬鬆的設定或違反最佳實務的情況。  該平台也會隨時間追蹤 IAM 政策變更，並在允許的活動突然增加時向您發出警告，尤其是涉及敏感資源時。這使您能夠識別並調查存取控制中不適當或危險的變更，而這些變更原本可能會逃過偵測。

• Access Analyzer 功能

AWS IAM Access Analyzer 是一項獨立工具，可識別您組織中與外部實體共用的資源。CWPP 將 Access Analyzer 的功能與更廣泛的安全情境結合。它透過將潛在的外部存取與其他安全事件建立關聯來做到這一點，使您能輕鬆發現並回應潛在的安全事件。

• 暫時性憑證管理

暫時性安全憑證是 AWS 的一項重要功能，可提供細緻的存取控制。CWPP 會監控並追蹤整個 AWS 環境中的暫時性憑證使用情況。它可能會向您顯示暫時性憑證以您意想不到的方式或在您意想不到的位置被使用的跡象，進而引發進一步爭議。它也有助於您維持嚴格的安全標準。

• 最小權限原則強制執行

CWPP 提供一種方式，讓我們能在 AWS 環境中套用 最小權限原則，這是 AWS 中的基本概念。

CWPP 會追蹤並持續檢查授予使用者、角色或資源的權限，並將其與實際使用模式比對。這將識別任何過度授權，並使這些權限得以收斂，讓您能縮小攻擊面。

AWS CWPP 真實世界使用案例

為了讓您了解 AWS CWPP 的能力與適用性，讓我們討論幾個 AWS CWPP 的真實世界使用案例。

1. 金融服務合規性： 假設一家大型銀行使用 AWS CWPP 來維持對嚴格金融法規的合規性。CWPP 的持續監控與自動化合規功能可檢查並確保所有客戶資料都已加密、存取控制已正確實作，且設定變更會立即被標記以供審查。
2. 電子商務平台安全性： 在電子商務業務中，安全團隊可在其容器化、彈性基礎架構上使用 CWPP。此平台會掃描正式環境容器，以確保每次部署都不含重大弱點。持續性的網路控制會建立軟體規則邏輯，在 DDoS 攻擊甚至發生之前就自動做出回應。
3. 多雲企業安全性： 採用多雲策略的大型企業，將可透過 CWPP 在 AWS 與內部部署環境之間獲得整合式安全性。單一窗格的集中管理主控台將使他們能夠監控整個混合式基礎架構中的安全性。
4. 媒體與娛樂產業安全： 由於串流服務使用量快速增加，其內容與客戶的安全更容易受到攻擊侵害。這就是為什麼 CWPP 已成為保護使用者資料與內容的寶貴資產。AWS CWPP 可保護串流服務平台免於駭客攻擊與盜版威脅，避免其危及業務發展。
5. 教育領域資料保護： 學校中的資料外洩不僅會造成安全疑慮，也會帶來財務與聲譽上的損失。擁有多個校區與數萬名學生的大型大學系統可使用 AWS 以符合 FERPA，並保護其學生與研究資料。

使用 AWS CWPP 進行監控與記錄

AWS CWPP 擴展了 AWS 原生的監控與記錄功能，可提供整個基礎架構活動的可視性。讓我們來看看 CWPP 如何使用這些工具。

CloudWatch 整合

CWPP 是一個客製化建置的平台，旨在透過在 AWS CloudWatch 服務之上套用監控來監視您的 AWS 環境。CWPP 使用 CloudWatch API 來收集您的 AWS 資源指標。它會設定自訂安全性指標，以檢查是否發生了登入失敗、敏感 API 的呼叫，或異常網路流量等情況。CloudWatch Alarms 會通知您可能的安全性問題。它們可能是以靜態閾值為基礎的警報，或是使用異常偵測演算法的機器。

用於稽核記錄的 CloudTrail

AWS CloudTrail 會提供由使用者、角色或 AWS 服務所執行動作的記錄。CWPP 與 CloudTrail 深度整合，以啟用全面的稽核記錄。CWPP 模組可確保在您的 AWS 帳戶所有區域中都已啟用 CloudTrail，且已啟用日誌檔案驗證。

確保稽核日誌的完整性對於鑑識調查與法規遵循要求至關重要。此平台會持續監控 CloudTrail 日誌中的任何可疑活動。這可能包括未經授權的 API 呼叫、安全群組規則變更，或 IAM 政策變更。

AWS CWPP 實作最佳實務

以下是 AWS CWPP 實作時應遵循的一些最佳實務：

1. 實施最小權限存取

在 CWPP 的協助下分析 IAM 角色與政策，以找出未使用或不必要的權限，讓您能完全掌控我們的資源可執行的操作。企業可利用與 IAM Access Analyzer 的整合來發現 AWS 帳戶中的開放資源。它也可用於監控權限提升嘗試與異常權限。

2. 加密靜態與傳輸中的資料

使用 AWS CWPP 時，以加密方式保護您的資料非常重要。為此，請管理整個環境中的加密金鑰，並使用 AWS KMS 加密且與 CWPP 整合。加密所有靜態資料，包括 S3 儲存貯體、EBS 磁碟區與 RDS 執行個體。

3. 持續監控與警示

透過 CWPP，您可以改善安全態勢，因為它提供即時監控，讓您能完全掌握狀況。CloudWatch 警報可用於安全相關指標，並使用 CWPP 根據您的環境與威脅模型進行客製化。使用 CWPP 透過多種管道（電子郵件、SMS 和 Slack）設定警示，以便在偵測到威脅時快速回應。

4. 定期弱點評估

使用 AWS CWPP 建立強大安全性的第一步，是主動識別弱點。搭配 CWPP 使用 Amazon Inspector 設定定期自動掃描，以偵測 EC2 執行個體與容器映像中的弱點。

5. 實施多層式安全防護

請務必使用 CWPP 管理多層網路安全，包括安全群組、Network ACL 與 AWS WAF 規則。CWPP 可提供來自防毒軟體、主機防火牆及其他端點安全工具之目前惡意軟體防護的洞察。將以網路為基礎的防護與分層方法結合，以保護主機本身免受網頁型威脅。

6. 保護並分析日誌

為了維持詳細的稽核日誌，請在所有區域與服務中啟用 AWS CloudTrail。若要集中管理這些日誌並對其進行即時分析，應使用 AWS CloudWatch。

7. 統一雲端與地端安全

為了使用混合雲，應同時在雲端與地端環境中實施防護。若要在兩者之間建立專用網路連線，可使用 AWS Direct Connect。

8. 使用聯合式單一登入 (SSO) 管理使用者

若要啟用集中式存取管理系統，請將 AWS Single Sign-On 與您的環境整合，並為所有使用者帳戶實施多重要素驗證(MFA)。使用聯合身分識別將您的地端身分管理整合至 AWS。

9. 實施網路分段

若要隔離執行不同應用程式的不同網路環境，可使用 Amazon VPC 建立這些環境。若要控制這些環境之間的任何傳入與傳出流量，應使用安全群組與網路存取控制清單(ACLs)。如果是在地端網路與 VPC 之間進行分段，則可使用 AWS Transit Gateway 進行集中管理。

為何選擇 SentinelOne 作為 AWS CWPP

Singularity™ Cloud Workload Security 是 SentinelOne 以 AI 驅動的自主雲端工作負載偵測與回應平台。它可掃描伺服器、VM、容器與 Kubernetes 環境。隨著現代雲端足跡持續擴張，企業需要保護跨多雲環境的工作負載。SentinelOne 的多個 AI 驅動偵測引擎可協同運作，以機器速度回應未知與已知威脅。它可保護 Azure、Google Cloud、AWS，以及私有雲與混合雲中的工作負載。

以下是它提供的其他功能：

• 1-click Rollback – 透過 1-click rollback 與自主緩解動作，還原任何未經授權的變更。
• Threat Hunting – Purple AI 是您的生成式 AI 安全分析師。SentinelOne 透過在統一資料湖中關聯遙測資料，協助您監控可疑活動。它透過 Purple AI 的自然語言查詢與事件摘要簡化調查流程。
• 深度可視性與鑑識 – SentinelOne 提供詳細的鑑識歷程與工作負載遙測資料，讓安全團隊能徹底調查事件。Workload Flight Data Recorder™ 會擷取並記錄所有相關資料，以提供全面可視性
• 廣泛支援與可擴充性 – SentinelOne 支援 14 種主要 Linux 發行版本、多種容器執行階段（Docker、containerd、cri-o），以及來自領先雲端供應商如 Amazon Web Services (AWS)、Microsoft Azure 和 Google Cloud 的受管與自管 Kubernetes 服務。它也可與 Snyk 整合，並結合無代理 CNAPP 與獨特的攻擊模擬引擎。
• eBPF 架構 – SentinelOne 使用 extended Berkeley packet filter (eBPF) 架構來提升平台的穩定性與效能。此設計可避免核心相依性，因此 CPU 與記憶體負擔較低。
• 與 DevSecOps 和 CI/CD 管線整合 – SentinelOne 與 DeSecOps 工具整合，在整個開發生命週期中提供無縫體驗與持續安全監控。

Take A Tour

AI-powered cloud workload protection (CWPP) for servers, VMs, and containers, that detects and stops runtime threats in real time.

結論

對於現代雲端安全系統而言，AWS Cloud Workload Protection Platform (CWPP) 是不可或缺的一環，若組織在 AWS 生態系中運作，它可提供 360 度防護。

CWPP 之所以重要，是因為它提供持續監控、威脅偵測與自動化回應。運用強大的分析能力與先進的機器學習，可協助組織持續跟上不斷變化的網路威脅態勢。它的設計具備完整的彈性，這表示當您擴展雲端基礎架構時，其安全能力也會隨之擴展。

Cloud Security Demo

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo