您需要了解的十大 AWS 安全問題

截至 2024 年，Amazon Web Services (AWS) 已成功取得 50% 的市場占有率。AWS 被各產業的組織使用，無論規模大小皆然。AWS 能夠協助每個組織滿足其基礎架構需求，因為它提供了眾多工具、實務與政策，幫助客戶保護其資料、應用程式與基礎架構。

在此時此刻，組織需要了解雲端安全的重要性對其資產的重要性。Cybersecurity Ventures 進一步預估，到 2025 年，全球每年將因網路犯罪損失 10.5 兆美元。  就 AWS 而言，安全性採用共同責任模型，亦即 AWS 本身負責雲端的安全，而客戶則自行維護雲端中的安全。這項區分非常重要。

在這篇部落格中，我們將探討 AWS 安全性的基本概念，接著說明主要的安全問題及其解決方式，並了解像 SentinelOne 這類進階安全解決方案如何協助處理這些 AWS 安全問題。最後，我們將了解如何實踐 AWS 安全性的最佳實作，以保護您的 AWS 環境。

什麼是 AWS 安全性？

AWS 安全性是控制措施、服務與功能的組合。它有助於保護公司存在於雲端中的資料、應用程式與基礎架構。AWS 安全框架是工具與實務的組合，可確保 AWS 平台的機密性、完整性與可用性。這種多層式安全框架可協助組織保護其網路安全、存取管理、資料加密、監控與合規。

AWS 安全性是以共同責任模型為基礎。它有助於明確界定 AWS 與使用其服務的客戶各自的責任。AWS 負責「雲端的安全性」，這表示保護在 AWS Cloud 中執行所有相關服務的基礎架構。這些基礎架構層面包括用於支援與執行 AWS Cloud 服務的所有硬體、軟體、網路和設施。另一方面，客戶負責「雲端中的安全性」，其中包括處理各種 AWS 安全性問題，並涵蓋與 AWS 服務相關的安全控制之設定與實作。

AWS 安全性的必要性

組織需要 AWS 安全性的原因有很多。以下將討論其中一些原因：

1. 不斷演變的威脅態勢：技術越進步，也意味著網路威脅越多。隨著時間推移，這些威脅變得更加複雜且頻繁，使傳統方法難以追蹤。AWS 安全性可協助組織跟上這些不斷演變的威脅，並處理新興的 AWS 安全問題。
2. 資料保護： 有許多組織與個人使用者使用雲端來儲存資料。因此，儲存在雲端中的資料正呈指數成長。因此，保護這類敏感資訊成為優先事項。
3. 合規要求： 不同產業必須遵循不同的合規標準。合規規則也可能因地點而異。AWS 安全性有助於滿足這項需求，並提供可協助組織符合監管機構要求的工具與功能。
4. 業務持續性： 如果發生任何 DDoS 攻擊或其他安全事件，可能會妨礙服務並導致應用程式停機。這也可能中斷業務功能。然而，透過 AWS，可避免此類事件，因為它能自動且即時地預防、偵測並回應威脅。
5. 可擴展性與靈活性： 隨著業務成長，AWS 可依需求提供具可擴展性與靈活性的解決方案。

十大 AWS 安全問題

AWS 安全性有助於解決多種威脅與 AWS 安全問題。讓我們在本節中討論其中一些。

#1. S3 儲存貯體設定錯誤

最常見且可能導致資料外洩的問題，是 Amazon S3 (Simple Storage Service) 儲存貯體設定錯誤。大多數情況下，這是因為儲存貯體政策或存取控制清單(ACLs)設定錯誤，導致授予過多權限，例如允許公開存取以讀取或寫入儲存貯體。研究發現，2017 年約有 1.98 億名美國選民因資料儲存在公開的 S3 儲存貯體中而受到影響，原因是設定錯誤，導致敏感資料外洩。

#2. 身分與存取管理 (IAM) 不足

如果未遵循最小權限原則，攻擊者就可能未經授權存取資源。此外，如果 IAM 政策未正確設定，可能會讓威脅行為者或內部員工獲得超出所需的權限。另一個主要問題是使用根帳戶執行日常操作或工作（例如建立 VM），且未實作多重要素驗證，導致未遵循最佳實務。

#3. 不安全的 API 與薄弱的 API Gateway 設定

API（Application Programming Interface）用於 AWS 中不同服務之間的通訊。一些可能使其容易遭受攻擊的常見問題包括驗證不當、傳輸資料時缺少加密，以及存取 API 時未有效限制速率。

#4. 記錄與監控不足

有時候，組織會忘記在其 AWS 環境中實作監控最重要的部分之一，也就是適當的記錄。他們可能忽略啟用 AWS Cloudtrail，而它有助於記錄每一次 API 呼叫並追蹤 AWS 安全性中發生的每一項活動。如果未建立適當的警示機制，或未以適當的間隔執行日誌稽核，可能導致安全事件被忽略，最終造成資料外洩。

#5. 未加密的資料儲存與傳輸

AWS 環境中最關鍵的問題之一是未加密的資料。資料應在兩個階段進行加密。一個是在資料儲存時，稱為靜態資料，另一個是在傳輸中（當資料透過網路傳送時）。如果未遵循適當的加密技術，可能會導致攻擊者未經授權存取這些資料，進而造成資料外洩以及違反資料保護法規，並可能導致嚴重的財務與聲譽損害。

#6. 存在弱點的 EC2 執行個體

過時的軟體、未修補的系統或設定錯誤（例如對傳入流量開放過大的 IP 範圍）都可能使 EC2 執行個體變得脆弱且容易遭受攻擊，包括惡意軟體。其他可能遭利用的方式包括開放連接埠、SSH 設定錯誤，以及未定期進行弱點評估。

#7. 網路安全不足

網路基礎架構是雲端中最脆弱的元件，因為如果未正確設定Virtual Private Cloud (VPCs)與網路存取控制清單(NACLs)，它就會直接可透過網際網路存取。

以網路為基礎的攻擊可能包括對傳入與傳出流量的不受限制存取。如果未正確進行網路分段，也可能發生這種情況，導致基礎架構的不同部分彼此暴露，並可能暴露於公用網際網路。

這種缺乏安全連線能力的情況，可能使敏感資料在傳輸期間暴露於攔截與竄改風險之中，進而提高整體風險。

#8. 機密管理不足

如果組織未妥善處理 API 金鑰、存取權杖與密碼等敏感資訊，可能導致攻擊者取得敏感機密。開發人員經常將這些憑證以明文形式儲存在程式碼儲存庫、設定檔或環境變數中。如果攻擊者取得這些明文機密，可能導致嚴重的安全外洩。

除了將它們安全地儲存在 KMS 解決方案中之外，定期輪替這些憑證也很重要，以避免一旦發生外洩時出現長期暴露的風險。

#9. 無伺服器與 Lambda 函數弱點

無伺服器運算（例如 AWS Lambda）有其自身的一系列挑戰。如果函數權限設定不當，攻擊者可能取得未經授權的存取。如果函數使用 API 金鑰或機密且未妥善處理，就可能落入意圖利用無伺服器函數的攻擊者手中。

#10. 容器與 Kubernetes 安全問題

隨著組織在 AWS 上使用 ECS 或 EKS 等服務採用容器化與 Kubernetes，新的安全挑戰也隨之浮現，例如容器逃逸漏洞、網路分段不足，以及資源隔離不充分。這些問題包括不安全的容器映像、過於寬鬆的 Pod 安全性原則，以及 Kubernetes RBAC（角色型存取控制）中的錯誤設定。容器化環境的動態特性也使得維持可視性與實施一致的安全性原則更具挑戰性，可能導致漏洞未被偵測，並遭攻擊者利用。

AWS 安全最佳實務

為了讓組織確保 AWS 安全的有效性，並保護自身免受這些 AWS 安全問題影響，應遵循最佳實務。以下列出一些可用於因應這些 AWS 安全問題的最佳實務：

#1. 實施強大的身分與存取管理 (IAM)

安全設定 AWS 環境的唯一正確方式，是實施強大的身分與存取管理政策。組織應始終遵循最小權限原則。這表示只有需要執行實際工作任務的使用者與服務才應被允許這麼做。啟用 MFA 也很有幫助，尤其是對於擁有比一般使用者更多權限的使用者（特別是 root 使用者）。

存取金鑰需要定期稽核，非使用中的帳戶也是如此。移除不再需要的權限。此外，AWS Organizations 提供多種控制選項，當從單一 root 帳戶管理多個帳戶時，這些選項即可使用。

#2. 加密靜態與傳輸中的資料

對傳輸中的資料和靜態資料進行加密是另一項重要措施。使用 AWS Key Management Service (AWS KMS)，開發人員可以建立及管理加密金鑰，然後可用於加密各種 AWS 服務中的資料。然而，組織應注意，使用 KMS 並不會自動加密 S3、EBS 或 RDS 中的資料，這些服務需要手動設定為使用由 KMS 管理之金鑰進行加密。建議所有資料傳輸都使用 SSL/TLS，包括 API 呼叫以及不同服務之間的傳輸。

此外，組織應實施定期輪替金鑰的政策，以確保加密金鑰持續更新。

雖然 AWS Certificate Manager 對於管理 SSL/TLS 憑證很有幫助，但它不會直接管理用於靜態資料的加密金鑰。對於金鑰輪替，組織應使用 KMS 的自動金鑰輪替功能，或實作自訂的輪替策略。

#3. 強化網路安全

另一項必要措施是強化網路安全。企業應使用可正確設定的 Virtual Private Clouds，以允許資源達到最大程度的隔離。應使用安全群組與網路 ACL 來確保對傳入與傳出流量的控制，並作為第一道防線。

組織也可以使用 AWS WAF 作為額外的安全層，以保護 Web 應用程式免受常見漏洞的影響，例如 SQL Injection、XSS 等。為了在內部部署網路與 AWS 資源之間進行安全通訊，企業可以使用 VPN 或 AWS Direct Connect。這兩種技術都提供加密的專用連線，可提升混合雲架構的安全性。此外，應定期檢視網路與網路組態，以識別並消除新的潛在威脅與漏洞。

#4. 實施全面的記錄與監控

實作全面性的記錄與監控，對於維持 AWS 環境的可視性並識別可能的威脅至關重要。首先，啟用 AWS CloudTrail，其會記錄整個基礎架構中的所有 API 呼叫。由於此功能開箱即用，因此沒有理由不使用它。它可協助針對 AWS 帳戶內發生的動作產生詳細的稽核軌跡。為了確保能立即回應威脅或政策違規情況，請使用 Amazon CloudWatch 為您的環境建立警示。

同時，AWS Config 可作為評估、稽核及檢視 AWS 資源組態的寶貴工具，並確保符合組織政策。每一筆日誌都必須定期檢閱，並在發現任何異常時觸發自動警報。同時，使用 Amazon GuardDuty 中所有可用功能，以進行智慧威脅偵測與持續監控，進一步保護您的環境。

#5. 定期進行安全評估

最後，定期的安全評估與更新對於維持 AWS 環境安全至關重要。因此，請對 AWS 環境執行弱點評估與滲透測試，以判斷基礎架構中是否存在任何弱點。同時，請記得讓所有系統與應用程式保持最新修補程式狀態，以保護您的環境免受已知漏洞利用的攻擊。

使用 AWS Trusted Advisor，它可提供即時指引，協助您隨時維持環境安全，並保持最佳效能與成本狀態。此外，請定期更新事件回應計畫，以確保其涵蓋針對環境中特定威脅的完整回應策略範圍。

此外，如果您的組織受 HIPAA 或 PCI DSS 等特定法規約束，組織也應記得定期執行安全稽核與合規檢查。

適用於 AWS 安全問題的 SentinelOne

SentinelOne 是當今世界中最穩健的安全解決方案之一的智慧型工具。它可與 AWS 環境順暢整合，協助組織防範威脅並回應事件。該平台專為因應各種 AWS 安全問題而設計。之所以稱其為智慧型工具，是因為它運用了人工智慧與機器學習，協助組織將現有的偵測、預防與回應能力提升到更高層級。

深度 AWS 整合

SentinelOne 的主要優勢之一，是與 AWS 服務的深度整合。透過超過 20 項整合，包括 Amazon Security Lake、AppFabric 和 GuardDuty，它可提升可視性並簡化威脅狩獵流程。這種緊密整合可實現更全面的安全方法，確保沒有任何弱點從縫隙中漏掉。

SentinelOne 最近宣布與 AWS Security Hub 的全新整合。可透過 SentinelOne Singularity Marketplace 取得。這項新整合將透過 AWS Security Hub，篩選來自在 Amazon Web Services (AWS) 上執行之 SentinelOne 代理程式的高可信度威脅資訊。此整合會從 SentinelOne 主控台擷取包含中繼資料在內的發現結果，並將其推送至 AWS Security Hub，讓您可直接從 AWS Security Hub 進行事件調查。SentinelOne 事件會正規化為 AWS Security Finding Format (ASFF)，無需轉換或剖析安全資料。

完整可視性

SentinelOne 可提供組織 AWS 環境的完整可視性。這種可視性包括網路流量、檔案系統活動及程序行為等資訊。安全團隊也可利用相同資訊，快速識別並調查潛在威脅。

自動化修復

吸引安全團隊使用 SentinelOne 的原因，不僅在於它為安全監控提供的協助，也在於其他功能，例如自動化修復，可協助他們自動回應威脅。此流程包括隔離受影響資源、終止惡意資源，以及將系統回復到安全狀態。自動化也有助於縮短安全事件的平均回應時間 (MTTR)，進而降低資料外洩造成的損害。

合規支援

由於標準嚴格，合規要求往往成為組織的頭痛問題。此平台可協助提供合規支援，從而減輕組織負擔。它有助於符合 GDPR、HIPAA 和 PCI DSS 等標準。為了稽核目的，它會產生詳細報告。此平台本質上也具備可擴充性，因此非常適合任何小型或大型組織。

結論

正如我們在整篇部落格中所探討的，我們可以理解 AWS 安全是一種多層式架構，對於在雲端運算上執行營運的企業而言非常重要。

AWS 安全性是建立在共同責任模型之上，該模型強調 AWS 與組織本身需要承擔的不同角色與責任。在這篇部落格中，我們探討了一系列 AWS 安全性問題。組織可能面臨的最關鍵 AWS 安全性問題包括：設定錯誤的 S3 儲存貯體、不當的 IAM 政策、不安全的 API、未加密的資料、存在弱點的 EC2 執行個體、網路安全弱點、不足的機密管理、無伺服器弱點，以及容器安全挑戰。

組織可實施最佳實務，包括強大的身分與存取管理、在資料的每個階段進行資料加密等等，以保護自身免受上述安全問題影響。這些實務不僅能保護組織，也有助於充分發揮 AWS 安全功能的潛力。

SentinelOne 平台有助於保護組織免受不斷演變威脅的影響。此平台可作為額外的安全層。此工具使用人工智慧與機器學習，近乎即時地發現並解決威脅。SentinelOne 可與 AWS 安全功能整合，為組織建立具韌性的防禦。