AWS 安全性評估：雲端安全的必要步驟

雲端供應商與使用者共同承擔保護雲端環境及其所託管資源的責任。雖然雲端供應商負責確保資料中心、網路基礎架構及主機作業系統的安全，但使用者則負責其雲端環境中的安全，也就是保護其託管的資料、應用程式，以及上傳至或在各雲端環境間共享的其他資源。因此，使用者必須妥善處理資料加密、存取控制與雲端資源組態，並建立足夠的安全檢查機制。這使得對於使用 Amazon Web Services 的企業而言，制定強健的 AWS 安全評估策略成為必要。

在本文中，我們將討論 AWS 安全性評估——其關鍵組成部分及其在 AWS 雲端安全策略中的重要性。接著，我們將逐步概述 AWS 安全性評估流程的涵蓋範圍，最後討論強大的雲端安全平台如何協助組織確保 AWS 安全。

什麼是 AWS 安全性評估？

AWS 安全性 評估是指對組織在 AWS 雲端環境中的安全態勢進行細緻審查。AWS 安全性評估的各種組成部分包括持續性弱點掃描、測試存取控制、識別並修正錯誤設定，以及對安全措施進行滲透測試。AWS 雲端安全性評估的目標是識別安全弱點，並引導組織改善 AWS 雲端安全態勢。

為什麼需要 AWS 安全性評估？

AWS 雲端是一個由各種類型資源組成的互連生態系統。安全弱點可能出現在任何類型的資源中，因此，使用必要措施保護所有這些資源非常重要。

例如，Lambda 函數需要嚴格的輸入驗證，以及強大的身分與存取管理角色，以防止注入攻擊。同樣地，像 S3 儲存貯體這類儲存資源需要進階加密來保護敏感資料。AWS 資源中的任何安全弱點，無論是未修補的 EC2 執行個體，還是存取控制失效的關聯式資料庫執行個體，都會讓惡意行為者得以發動攻擊。他們可以利用這些弱點，入侵您的 AWS 雲端環境、竊取並洩露資料、造成服務停機等。而成功的攻擊則可能導致

• 資料遺失與身分盜用
• 服務中斷與系統停機
• 因勒索軟體與法律罰則造成的財務損失
• 業務、聲譽與信任的損失。

定期進行 AWS 安全性評估可透過及早偵測弱點、依嚴重性排定優先順序，並在遭到利用前加以緩解，協助您防範外部惡意行為者與內部威脅。

即使發生資料外洩事件，定期安全性評估也能協助您依據所屬產業，符合 GDPR、HIPAA 與 PCI DSS 等法規要求。

AWS 安全性評估核心組成部分

如前所述，AWS 雲端環境是一個由許多互連資源組成的生態系統，因此產生多樣化的安全需求。完整的 AWS 安全性評估框架會涵蓋所有這些不同的安全需求。

身分與存取管理 (IAM) 評估

• 使用者與群組管理：IAM 可確保將適當的權限與角色指派給使用者和群組。安全性評估必須檢查 IAM 系統與政策的有效性。
• 多重要素驗證 (MFA)：對所有儲存執行個體實施多重要素驗證，對於保護 PII 與其他敏感資訊至關重要。評估 MFA 的使用情況是安全性評估的重要部分。

網路安全性評估

• 安全群組分析：評估安全群組設定非常重要，以確保其能有系統地限制傳入與傳出流量。
• VPN 設定檢視：必須評估虛擬私人網路 (VPN) 的設定，以保護內部部署與雲端環境之間的通訊安全。
• 網路流量分析：持續監控網路流量對於偵測異常與可疑行為是必要的。

資料安全性評估

• 加密：必須確保使用足夠的加密機制，以保護靜態與傳輸中的敏感資料。
• 資料分類：資料分類可確保對不同資料類型套用適當的安全措施。這些措施必須定期測試。
• 資料外洩防護 (DLP)：監控 DLP 工具的有效性，對於防止未經授權的資料外洩至關重要。

應用程式安全性評估

• 弱點掃描：識別並排定託管於 AWS 雲端上的應用程式弱點優先順序，是安全性評估計畫的重要部分。這可藉由自動化弱點掃描與滲透測試來完成。
• Web Application Firewall (WAF) 設定：必須定期檢查防火牆相關規則與政策。開發人員與測試人員經常在開發階段停用防火牆；必須確保防火牆已重新啟用或重新設定。

基礎架構安全性評估

• 修補程式管理：務必確保所有系統皆為最新狀態，包括雲端託管應用程式中使用的第三方軟體元件。
• 組態管理：安全性評估會尋找設定錯誤的 AWS 資源，並協助組織在其造成安全事件之前加以處理。

合規性評估

• 法規遵循：AWS 安全性評估的一個關鍵部分，是評估組織雲端託管營運的稽核就緒程度。它會評估是否符合相關產業標準與法規，例如 CCPA、GDPR、HIPAA 等。
• 稽核軌跡：合規性評估的一部分是評估組織的稽核軌跡，以追蹤 AWS 資源的變更並識別未經授權的活動。
• 事件回應規劃：合規性也取決於公司回應不利安全事件的準備程度。安全性評估會評估已建立的事件回應流程。

AWS 安全性評估的步驟

在本節中，我們將重點介紹 AWS 安全風險評估的 10 個關鍵步驟。此處的目標是為您的 AWS 安全性評估策略提供基礎——這也可作為您組織的 AWS 安全性評估檢查清單。

步驟 1：確定評估範圍與目標

對幾乎任何安全性評估而言，確定範圍通常都是第一步；此處也不例外。這就是定義您希望在評估期間涵蓋的區域與資源。

• 確定業務目標： 識別對業務營運至關重要的資源與應用程式。
• 優先順序設定： 根據潛在風險、可利用性與潛在影響排定區域優先順序。

步驟 2：盤點 AWS 資源

清楚掌握您正在處理的所有資源非常重要。這不僅可確保涵蓋所有關鍵區域，也有助於組織執行目標明確的安全性評估。

• 列出所有正在使用的 AWS 服務，包括 EC2 執行個體、S3 儲存貯體、VPC、IAM 角色、資料庫等。
• 根據資料的敏感性進行分類。

步驟 3：檢視組態設定

此步驟涉及評估各種 AWS 資源的組態，以尋找安全弱點與漏洞。此步驟中的一些關鍵動作如下。

• 檢查安全群組： 安全群組應僅允許必要的流量。
• 檢視 IAM 角色與政策： 使用者與資源應根據需求擁有權限。
• 稽核 S3 儲存貯體設定： S3 儲存貯體應加密並以存取控制加以保護。
• 檢閱 VPC 組態： 虛擬私有雲端 (VPC) 應以私有子網路和 NAT (Network Address Translation) 閘道安全地完成組態。

步驟 4：評估 CloudTrail Logs 和 Insights

CloudTrail 是一項關鍵的 AWS 服務，可記錄對您的 AWS 帳戶所進行的 API 呼叫。CloudTrail 具備 Logs 和 Insights 等功能，可在 AWS 環境的安全評估中發揮重要作用。

• 檢查 CloudTrail 事件篩選器： 事件篩選器可用於篩選日誌，以縮小對異常活動的搜尋範圍。請檢查是否已設定正確的篩選器。
• 使用 CloudTrail Insights: 使用 CloudTrail Insights 分析日誌並識別潛在威脅。
• 將 CloudTrail 與安全系統整合： 來自 CloudTrail 的日誌資料可透過 SIEM 系統用於針對異常發出警示。

步驟 5. 評估存取控制

存取控制可規範哪些個人或群組能夠存取雲端資源並對其執行動作。嚴格的角色型、屬性型及強制性存取控制，對於維持強健的 AWS 安全態勢至關重要。

• 檢查 IAM 權限： 身分與存取管理 組態必須經過測試，以確保權限已依最小權限原則並根據使用者層級適當授予。
• 多重要素驗證： 確保所有使用者與群組都需要 MFA 才能存取 AWS 資源。

步驟 6：強化威脅防禦

AWS 提供各種威脅偵測與預防工具，需定期評估其可用性、有效性及組態錯誤。

• 您可以使用 AWS Shield 防止 DDoS 攻擊。
• AWS GuardDuty 可持續監控您的 AWS 環境是否有可疑活動。
• 可部署入侵偵測系統，以偵測並回應潛在攻擊。

安全評估會檢查所有這些工具與流程的有效性。

步驟 7：評估事件回應計畫

健全的 事件回應計畫 可協助您的團隊在發生入侵時理性行動，並以公司的最佳利益為依歸。必須將明確的角色、責任與行動項目指派給員工，並提供詳細的路線圖。

• 您需要定期進行事件回應演練，以評估團隊在壓力下的準備程度，並確保回應有效且受到良好規範。
• 同樣重要的是，必須確保您的事件回應策略會隨著雲端環境演進，將變動中的資源與新的最佳實務納入考量。

步驟 8：處理內部威脅

內部威脅 可能表現為對特權存取的誤用或濫用。誤用是指非自願性錯誤，會使組織暴露於威脅之下；而濫用則是指具有合法存取權的人所採取的惡意行動。

• 安全評估會檢查為偵測內部威脅跡象（例如異常使用模式與可疑行為）而部署的工具與措施。
• 員工訓練可在降低誤用或無意威脅事件方面發揮關鍵作用。
• 在這方面，建立最小權限原則至關重要。

步驟 9：運用 AWS Inspector

AWS Inspector 是一種自動化安全測試工具，您可用來偵測特定 AWS 資源中的漏洞與錯誤組態。

• AWS Inspector 可根據 CVE 資料庫掃描您的 EC2 執行個體是否存在常見漏洞。
• 它可識別錯誤組態，例如開放連接埠或薄弱的安全群組規則。
• 它可與其他 AWS 安全服務整合，例如 GuardDuty 和 CloudTrail。

步驟 10：執行滲透測試

滲透測試 是使用類似駭客的技術來尋找並利用弱點的過程。其目標是評估應用程式或環境的安全態勢，並產生對其的深入洞察。

• 您可以聘請滲透測試公司來模擬對您的 AWS 環境和雲端託管應用程式的攻擊。
• 這可讓您測試各種攻擊向量，並找出在弱點掃描中可能遺漏的業務邏輯錯誤。
• 利用從滲透測試報告中獲得的洞察來修補弱點並強化您的安全性。

AWS 安全評估的報告就像一份處方，為您的安全團隊和開發團隊提供明確的指引與路線圖，以打造更安全的 AWS 環境。

使用 SentinelOne 保護 AWS 環境

SentinelOne 是 Amazon Partner Network 的策略合作成員。這表示 SentinelOne 提供一套強大的解決方案，可補強原生 AWS 安全評估工具，並協助 AWS 客戶保護其環境免受各種威脅。

隨著多雲與混合環境成為大多數公司的有意識且具策略性的選擇，以整體視角快速偵測威脅變得至關重要。SentinelOne 的專有 AI 與威脅情報引擎讓 AWS 安全性超越以簽章為基礎的方法，並協助企業以機器速度回應機器速度的威脅。

使用 SentinelOne 進行 AWS 安全防護的優勢

1. 即時威脅偵測與回應： 由 Purple-AI 和 Singularity™ Data Lake 提供支援，SentinelOne 在您的 AWS 環境中提供即時威脅偵測與回應能力。它可讓您識別並消除勒索軟體、零時差漏洞利用和加密貨幣挖礦程式等威脅，這些威脅可能會規避 AWS 提供的以簽章為基礎的安全選項。
2. 進階威脅狩獵與 AWS 服務整合： 透過 PB 級儲存空間實現高效率搜尋與調查，Singularity™ Data Lake 以前所未有的方式簡化了威脅狩獵。SentinelOne 與 CloudTrail 和 GuardDuty 等 AWS 服務的無縫整合，進一步強化了威脅偵測與回應能力。
3. 可擴充性與效能： SentinelOne 的 eBPF 代理程式架構可在逐步增加 CPU 和記憶體資源的情況下確保可擴充性。即使在大規模 AWS 環境中也能順暢運作。最重要的是，這種彈性讓您可以增加工作負載和攻擊面，而無需擔心安全系統的效率。
4. AWS 雲端工作負載的安全防護： SentinelOne 保護雲端工作負載，並為您的 AWS 資源提供集中式可視性與控制。它也能保護您的 S3 儲存貯體和 NetApp。 SentinelOne’s Cloud Native Application Protection Platform (CNAPP) 和 Cloud Workload Security 計畫可與 AWS 服務順暢整合。整體而言，SentinelOne 可協助您自信且完全可靠地履行 雲端安全 共同責任模型中屬於您的責任。

結論

AWS 透過可立即使用的儲存、運算與資料庫資源，協助您的組織快速成長，同時也透過各種安全工具協助您保護資源。然而，考量到您營運的速度與多樣性，原生安全性可能不足，而惡意行為者可能會找到入侵的機會。RansomwareR事實上，勒索軟體集團正日益將攻擊重點轉向雲端式協作平台。在這樣的關鍵時刻，細緻的 AWS 安全性評估結合全面且由 AI 驅動的安全工具，鑑於當前情勢，能帶來顯著差異。發揮長遠效益。