什麼是 AWS 安全框架？

在過去幾年中，雲端技術已席捲全球。由技術驅動的公司不是已經遷移到雲端，就是正在遷移到雲端的過程中。其快速發展的最大原因之一是易於使用、管理基礎架構的壓力較小、不再有擴展性問題，以及具成本效益。凡事都有兩面，雲端技術也不例外。雲端技術面臨其自身的一系列挑戰。其中最大的一項是 雲端安全。

AWS，也就是 Amazon Web Services，是雲端服務供應商，截至 2024 年擁有市場上最大的市占率。AWS 目前擁有 32% 的市場份額，而其擁有最大市占率的原因，不僅是雲端技術所提供的優勢，還包括其提供的工具數量與整合選項。AWS 幾乎為你能想到的一切提供服務，包括傳送訊息、管理使用者、建立虛擬機器等。

在這篇部落格文章中，我們將討論什麼是 AWS 安全框架、它如何運作，以及企業為何一開始就需要它。我們也將討論多種保護 Web 與無伺服器應用程式的方法，以及 AWS 提供的不同工具與技術，用於自動化 DevSecOps 流程。

AWS 中的身分與存取管理

擁有數百名員工的公司需要適當的工具來管理其身分，以及他們如何存取不同資源。員工需要根據其所需的資源或資料擁有特定的存取層級，而為了達成這一點，我們需要 IAM。在本節中，我們將討論 AWS IAM 如何運作。

1. AWS Identity and Access Management (IAM)： IAM 因安全原因而被企業用來控制對 AWS 資源或儲存在 AWS 中資料的存取。IAM 功能可透過 AWS UI 或 API 存取。此工具可協助管理員集中管理使用者、存取金鑰與權限，使其能完成更多工作並減少雜亂。
2. AWS Single Sign-On (SSO)： 也可以透過雲端式的 AWS Single Sign-On(SSO) 服務，從單一來源管理 AWS 帳戶與應用程式，讓 SSO AWS 帳戶的管理更加容易。
3. 用於多帳戶安全性的 AWS Organizations： 一個組織可以在根帳戶或主帳戶之下擁有多個 AWS 帳戶。AWS Organization 服務就是用來管理所有這些帳戶。這通常用於公司收購小型公司，或某些團隊根據使用案例建立獨立帳戶時。

實作 AWS 網路安全與資料保護

網路安全是一種用於保護網路上敏感資訊（從來源傳送到目的地）的流程。網路安全可以透過多種方式實作，例如使用硬體、軟體與通訊協定，最終目標是保護資料。AWS 提供的一些資料保護工具如下：

虛擬私有雲

Amazon Virtual Private Cloud (VPC) 有助於在雲端內建立與其餘雲端隔離的區段。這些隔離網路會隔離網路中使用的資源，並提供公有與私有子網路，有助於保護敏感資源免於直接從網際網路存取。

安全群組與網路存取控制清單

AWS 提供兩種工具來控制 VPC 內的流量。第一種是 Security Groups，AWS 在其中提供一種於執行個體層級運作的虛擬防火牆，並確保可針對傳入流量進行設定，且可使用 IP 範圍、連接埠、通訊協定等控制傳出流量。另一種是 Network Access Control Lists (NACLs)。這些規則在網路層級運作，在此情況下是子網路層級，並且也會控制傳入與傳出流量。

AWS Private Link 與 VPC Endpoints

如果組織或客戶想在不使用公用網際網路的情況下存取 AWS 服務，他們可以使用 AWS PrivateLink，它是 VPC Endpoints 之一。PrivateLink 可讓客戶安全地存取服務，也可讓客戶從 AWS Services 與 VPC Endpoint Services 存取 VPC 資源。

資料加密

AWS 資料加密是最重要的安全工具之一，可協助保護處於靜態階段（data at rest）與傳輸階段（data in motion）的敏感資料。為了保護靜態資料，可以使用 AWS 服務，例如 Amazon EBS、S3 和 RDS，並可直接設定為自動加密其中存在的資料（對於複雜的資料儲存使用案例，直接啟用加密可能無法運作）。至於另一種情況，當資料處於傳輸中時，可以搭配 VPN 連線使用 SSL/TLS 通訊協定，以避免攻擊者攔截資料。

AWS Certificate Manager

為了讓加密技術在 AWS 中順暢運作，會使用 AWS Certificate Manager (ACM)。ACM 有助於佈建、管理與部署 SSL/TLS 憑證，也能管理其憑證續約。這被廣泛用於使用 AWS 部署 Web 應用程式的公司。

AWS 安全框架的類型

AWS 提供的一些主要安全框架類型如下：

1. AWS Cloud Adoption Framework (CAF)

AWS CAF 可協助供應商從安全角度切入，並定義資料安全的最佳實務。它更著重於向企業展示如何確保安全與業務之間的適當平衡、IAM 解決方案 應如何實作，以及企業如何滿足與政府機構相關的聯邦合規要求。此框架更像是一份指南，向企業展示如何將安全性導入並整合至其業務中。

2. 合規框架

AWS 擁有正式的安全與合規計畫，並且有一些已定義的要求。AWS 已設計多項基礎架構服務，以確保組織滿足其法規需求，例如 PCI DSS（支付卡產業資料安全標準）、HIPAA 與 SOC2。

3. AWS Control Tower

AWS Control Tower 是一項服務，可協助服務供應商建立安全且合規的多帳戶 AWS 環境。這可用於設定主要帳戶角色與服務基礎，增加共用帳戶、雲端資料存取，以及管理帳戶設定問題解決的能力。

4. 資料保護框架

AWS 提供指引與服務，以協助保護公司的敏感資料與 PII 資料。這包括保護靜態與傳輸中的資料。這可透過資料管理來完成，包括加密金鑰管理、監控、存取控制與裝置使用模式。

5. 事件回應框架

事件回應 是企業用來管理、回應及從安全事件中復原的計畫。AWS 使用者可藉助 AWS CloudTrail 進行 API 使用稽核、使用 Amazon GuardDuty 進行威脅偵測，以及使用 AWS Systems Manager 自動化回應動作，來建立穩固的事件回應計畫。

6. 共同責任模型

這不是一個框架，而是一個在 AWS 安全 方面應該理解的重要概念。根據此模型，保護資料的責任不僅在於雲端供應商，也在於終端使用者。

用於安全監控、記錄與合規的 AWS 工具

AWS 提供多項用於記錄、監控與合規的服務。其中一些如下：

#1. AWS CloudTrail

AWS CloudTrail 用於安全監控與稽核。它會為使用者、角色或 AWS 服務本身可能對任何 AWS 服務執行的每個動作提供日誌軌跡。

#2. Amazon CloudWatch

Amazon CloudWatch 可協助監控使用者在 AWS 上執行的資源與應用程式。它用於監控 AWS 資源，例如 Amazon EC2 執行個體、Amazon Dynamo DB 資料表等。

#3. AWS Config

AWS Config 可協助追蹤使用者在其帳戶中所使用 AWS 資源的組態。它基本上會將使用者組態與所需設定進行比較，進而協助維持安全性與合規性這一最終目標。

#4. AWS Artifact

為了從 AWS 的安全性與合規性報告及線上協議中取得與合規相關的資訊，AWS 提供 AWS Artifact 服務。此服務為使用者提供多種合規文件，包括 AWS ISO 認證、Payment Card Industry (PCI) 報告，以及 Service Organization Control (SOC) 報告。

#5. AWS Control Tower

AWS Control Tower 提供企業用來設定多帳戶 AWS 環境的框架。它透過在所有帳戶與組織單位之間維持一致的政策，確保您擁有合規且治理完善的多帳戶政策。

#6. AWS Audit Manager

AWS Audit Manager 是一項監控您 AWS 使用情況的服務，讓您更容易評估風險以及對法規與產業標準的合規性。它會自動收集證據，因此可減少準備稽核所需的人工作業。

AWS 環境中的威脅偵測與事件回應

快速偵測並回應安全威脅的能力非常重要。AWS 為此目的提供的一些工具如下：

• Amazon GuardDuty

AWS 為使用者提供名為 Amazon GuardDuty 的智慧型威脅偵測服務。此工具會持續監控 AWS 帳戶中的任何威脅活動或未經授權的行為。此服務能夠利用機器學習、異常偵測與整合式威脅情報，分析來自 AWS 資料來源的任意數量記錄。

• AWS Security Hub

您的 AWS 環境中可能會出現多種安全問題。為了找出其中最關鍵的問題，管理員可以使用 AWS Security Hub，它可提供整體安全態勢檢視，並整理及排序關鍵威脅的警示優先順序。

• Amazon Detective

為了更快速地進行安全調查，組織可以使用 Amazon Detective，它利用機器學習與圖論，從 AWS 資源建立相互關聯的資料集。

• Amazon Macie

資料保護對任何組織而言都是絕對必要的。Amazon 提供 Amazon Macie，它利用機器學習與模式比對來保護 AWS 中的敏感資料。它也可以提供可能包含該資料且未加密或可公開存取（亦即設定錯誤）的 Amazon S3 儲存貯體清單。

• AWS IoT Device Defender

在使用 IoT 裝置時，組織必須留意一些問題，例如多個裝置共用身分憑證，或裝置具有異常高的對外流量，這可能表示它們正在參與DDoS attack。這些問題會由 AWS IoT Device Defender 自動處理，從而保護硬體基礎架構。

如何保護 AWS 中的 Web 與無伺服器應用程式

現今 Web 服務很常見，開發人員會使用 Web Server 來部署應用程式，但無伺服器是一個新概念。在無伺服器環境中，開發人員不必管理或維護基礎架構；這些都由雲端供應商完成。讓我們討論可用於保護您的 Web 與無伺服器應用程式的關鍵服務及其角色：

1. AWS WAF (Web Application Firewall)

常見的 Web 漏洞利用可能會影響應用程式可用性、危及其安全性，或也可能導致過度的資源消耗。AWS WAF 可保護我們的應用程式免受所有這些威脅。它允許使用者建立安全規則，以控制機器人流量並封鎖常見攻擊模式，例如 SQL injection 或 cross-site scripting。

2. Amazon Inspector

AWS 其中一項可協助我們確保合規的服務是 Amazon Inspector，它會分析應用程式的暴露面、弱點與最佳實務。Amazon Inspector 會提供所有這些項目及其嚴重程度的詳細報告。這些報告也包含如何解決問題的建議。

3. AWS Shield

AWS Shield 是一項分散式阻斷服務 (DDoS) 防護服務，旨在將應用程式停機時間與延遲降至最低。它可保護在 AWS 上執行的應用程式免受各種類型的 DDOS 攻擊。

4. AWS Firewall Manager

AWS Firewall Manager 可讓您更輕鬆地集中設定與管理跨帳戶和應用程式的 AWS WAF、AWS Shield Advanced 與 Amazon VPC 安全群組。AWS Firewall Manager 可讓管理多項安全規則並持續保護工作負載變得更簡單。

5. AWS Network Firewall

AWS Network Firewall 可讓您輕鬆為所有 Amazon Virtual Private Clouds 部署網路防護。透過 AWS Network Firewall，您可以使用防火牆規則建立安全政策，對跨 VPC 的網路流量提供細緻控制。

實作安全自動化與 DevSecOps 的不同工具

將安全自動化整合至 DevOps 流程中，對於提升穩健的安全態勢非常重要。可協助我們做到這一點的一些 AWS 工具如下：

• AWS Systems Manager

AWS Systems Manager 是一項管理服務，可協助您自動收集軟體清冊、套用作業系統修補程式、建立系統映像，以及設定 Windows 與 Linux 作業系統。

• AWS CloudFormation

AWS CloudFormation 為您提供通用語言，以便在您的雲端環境中定義與佈建 AWS 及第三方應用程式資源。就安全性而言，CloudFormation 可讓您將安全控制定義為基礎架構範本的一部分，並在無需額外作業的情況下加以強制執行。

• 與 CI/CD 管線整合

企業使用 CI/CD 管線來建置、測試及部署應用程式。下列 AWS 服務與功能可與您現有的 CI/CD 管線整合，以協助提升建置週期的整體安全性。

1. AWS CodePipeline 有助於管理發行流程，並在各個階段整合安全檢查。
2. Amazon CodeGuru Reviewer 可執行自動化程式碼審查，以識別安全漏洞並據此提出修復建議。
3. AWS CodeBuild 可設定為在建置流程中執行安全掃描與測試。
4. Amazon ECR 的 push 時掃描功能可在容器映像被推送至 satisfactory 或容器登錄時，自動掃描其中的漏洞。

• AWS Security Hub 自動化回應與修復

AWS Security Hub 的自動化回應與修復可讓您透過自動採取動作來回應安全發現。它是以 AWS Systems Manager Automation 文件為基礎，用於解決常見的安全問題。例如，若 Security Hub 偵測到過度寬鬆的安全群組規則，便可自動編輯該規則以限制存取。

AWS 安全最佳實務

AWS 因被廣泛使用而成為攻擊者的主要目標。讓我們來討論一些在使用 AWS Security 時應實施的最佳實務。

#1. 實施最小權限存取

最小權限原則指出，應僅提供使用者與服務完成其工作所絕對必要的最低權限。AWS 提供 AWS Identity and Access Management (IAM) 以建立可根據特定條件協助限制存取的政策。然而，這些政策應不時進行檢視與稽核，以確保其適當且符合最新標準。

#2. 保護網路基礎架構

虛擬私有雲端(VPCs) 應妥善檢查與設定，以維護使用者基礎架構的安全。AWS 管理員可使用安全群組與網路存取控制清單(NACLs) 來控制傳入與傳出流量。為保護敏感資源，應透過使用公有與私有子網路來實施網路分段，並依據資源關鍵性與業務使用案例將資源放置於私有子網路中。

#3. 資料保護與加密策略

資料在靜態與傳輸中兩個階段都應加密。企業可使用 AWS Key Management service 來建立與管理加密金鑰。預設加密 應啟用，以便 Amazon S3 儲存貯體與 EBS 中的靜態資料受到加密。此外，開發人員可使用 SSL/TLS 通訊協定來加密傳輸中的資料。為控制誰可以存取 S3 資料，AWS 提供儲存貯體政策與存取控制清單。

#4. 監控與事件回應

組織可透過 AWS CloudTrail、Amazon CloudWatch 與 AWS Config 啟用詳細記錄與監控。此外，當自動偵測到可疑活動時，組織應收到警示，並應使用 Amazon GuardDuty 進行智慧型威脅偵測。

#5. 持續安全評估與合規

AWS 建議在組織內安排定期安全評估。企業可使用 Amazon Inspector，這是一項用於弱點評估的安全評估服務。此外，企業可能也會想使用 AWS 與第三方工具持續稽核 AWS 的使用情況，其中包括 AWS Audit Manager，以符合組織的安全政策與標準。

為何選擇 SentinelOne 作為 AWS Security 解決方案？

SentinelOne 是全球各地企業用來保護 AWS 基礎架構的領先解決方案。它可透過先進的威脅偵測工具，以及跨各種 AWS 服務的自動化回應能力，協助企業填補安全缺口。這包括 EC2 執行個體、容器或容器化應用程式，以及使用 AWS Lambda 的無伺服器函數。

SentinelOne 使用先進的機器學習模型與行為分析來識別並阻止複雜的安全攻擊或資料外洩。此工具可輕鬆與 AWS CloudTrail 和 AWS GuardDuty 等 AWS 服務整合。易於整合的特性讓企業更容易採用此工具。

SentinelOne 可偵測零時差漏洞利用以及無檔案惡意軟體（不需要系統上可執行檔案的惡意軟體）在雲端基礎架構中的活動，為現有安全控制增添額外一層防禦。由於此工具採用雲端原生架構，因此對 AWS 效能幾乎沒有影響。

Take A Tour

AI-powered cloud workload protection (CWPP) for servers, VMs, and containers, that detects and stops runtime threats in real time.

結論

AWS Security 並非工程師使用的華麗詞彙；它是 AWS 提供的安全解決方案，用於確保儲存／託管於 AWS 中的資料與應用程式免受威脅行為者侵害。AWS Security Framework 是一套多層級流程，可協助企業找出並解決 AWS 基礎架構中的安全問題。這不僅僅是透過少數幾個工具完成，而是藉由各種工具與多項指引來確保敏感資料不會落入錯誤的人手中。

AWS Security Framework 也能滿足組織對自動化與可擴展性的需求。它提供 AWS Config、CloudFormation 與 Systems Manager 等服務，協助組織將安全性作為基礎架構即程式碼服務來整合。它也有助於管理同一組織下多個 AWS 帳戶之間安全政策的一致性。

See SentinelOne in Action

Discover how AI-powered cloud security can protect your organization in a one-on-one demo with a SentinelOne product expert.

Get a Demo