什麼是 AWS Security Lake？重要性與最佳實務

AWS Security Lake 是一種易於部署的解決方案，旨在與您的內部部署與雲端來源搭配運作，自動集中化您所有的安全資料。這項專有產品會以符合 Open Cybersecurity Schema Framework (OCSF) 的格式，將安全資料標準化與正規化，使分析作業變得簡單、快速且具洞察力。

AWS Security Lake 在網路安全中的重要性再怎麼強調都不為過。對於快速演變的網路威脅，迅速偵測、調查與回應安全事件至關重要。透過 AWS Security Lake，以標準化格式整合的安全資料與強大的分析能力，讓安全團隊能夠對其持續擴大的威脅版圖達成更全面的涵蓋。

AWS Security Lake 簡介

AWS Security Lake 是一項服務，可協助組織建立 AWS 安全資料湖，讓他們能夠集中管理所有與警示及其他安全特定使用案例相關的日誌。此平台旨在提供一種通用方式，用於收集、儲存及分析來自 AWS 服務以及第三方應用程式的活動資料。它不僅涉及組態，還包含安全日誌，例如自訂日誌資料。

Security Lake 讓組織能夠運用 AWS 的規模與成本效益，進而協助其簡化安全營運，同時提供廣泛的可視性，以加快偵測與回應能力。

AWS Security Lake 與 Open Cybersecurity Schema Framework (OCSF) 搭配運作，以確保安全資料已標準化，因此可進行分析，並可從不同資訊來源進行關聯。這種標準化意味著可減少處理各種不同安全日誌的負擔，並協助組織有效運用對自身安全狀態的洞察。

與傳統儲存安全相關資料的方法相比，Amazon Security Lake 有很大不同。傳統方法的主要困難在於日誌分散儲存在各處（孤島式系統）。首先描述的問題是工具碎片化，這會拖慢事件偵測與回應時間，進而增加安全風險。

AWS Security Lake 提供一個共用位置，讓安全團隊可從不同來源彙整資料，從而更容易進行分析並快速採取行動。相較之下，傳統方法需要大量人工投入來收集、正規化及分析資料。

此外，傳統安全解決方案可能缺乏處理日益增加之安全資料量所需的規模與敏捷性。擁有舊有系統的組織通常難以擴充其資料儲存或導入新的資料集。基於這種方法，AWS Security Lake 被建構為可與強大的 AWS 基礎架構整合，為不斷成長的資料負載提供豐富的可擴展性，以及多元資料來源的靈活性。

AWS Security Lake 架構

AWS Security Lake 建立在安全架構之上，該架構專為在 AWS 雲端中有效集中化與治理安全資料而設計。此架構的關鍵元件包括：

1. 資料擷取層：此層會從 AWS 服務、第三方應用程式及自訂日誌來源等多元來源收集安全資料。
2. 資料正規化層：此層用於確保所有擷取的資料，不論來源為何，都會使用 OCSF (Open Cybersecurity Schema Framework) 機制以通用形式進行標準化。
3. 儲存層：此層使用 Amazon S3 儲存正規化後的安全日誌，提供安全且無限制的儲存空間。
4. 查詢與分析層：Security Lake 可與 Amazon Athena 與 AWS QuickSight 等分析工具整合。其目的是讓組織能夠查詢儲存在 S3 中的安全資料。
5. 呈現與報告層：此層為安全團隊提供儀表板與視覺化功能，以掌握其安全態勢並發現趨勢或異常。

資料擷取選項對即時資料與批次載入而言都很順暢且具低延遲。對時間敏感的應用程式可即時處理，例如透過使用 Amazon Kinesis Data Streams 或 AWS Lambda 等服務即時擷取安全日誌。批次擷取方法則可排程收集並上傳較不緊急資料的日誌。

資料在被擷取後會進行正規化，以確保資料彼此之間保持一致且相容。這是透過 Open Cybersecurity Schema Framework (OCSF) 來完成，該框架會將安全資料塑造成通用格式，使其可用於分析與關聯不同來源的資料。

這些資料經過正規化後，會儲存在 Amazon S3 中；Amazon S3 是一項物件儲存服務，可為現代 IT 環境產生的大量安全日誌提供耐久性、可用性與可擴展性。

在 AWS Security Lake 中整合與分析資料

AWS Security Lake 可與許多其他 AWS 服務搭配運作，並利用它們提供資料管理功能及更多能力。支援 AWS Security Lake 的關鍵服務包括：

1. AWS CloudTrail：它讓組織能夠記錄其 AWS 帳戶內所發出的每一項請求。這涵蓋資源變更，甚至包括個別使用者的日常操作。
2. Amazon VPC Flow Logs：它會記錄進出 Virtual Private Cloud (VPC) 中網路介面的 IP 流量資訊，有助於安全監控並確保符合合規要求。
3. AWS Security Hub：Security Hub 為客戶提供一個集中位置，以套用其在 AWS 環境中部署的政策。
4. AWS Lambda：Lambda 函數可實現無伺服器運算，支援即時資料處理與安全工作流程自動化，而無需處理基礎架構。
5. Amazon Kinesis：它用於串流資料的擷取與處理，例如即時安全日誌收集等。

自訂日誌來源與資料保留政策

AWS Security Lake 不僅可與受支援的 AWS 服務整合，也能夠從自訂來源擷取日誌來源。此功能的重要用途包括整合來自您的內部部署系統、防火牆、端點安全解決方案，甚至第三方應用程式的資料。AWS Security Lake 支援多種日誌來源，使組織能夠以彙總方式檢視其安全生態系統。

組織也可以設定資料保留政策，以決定安全資料要保留多久。這些政策可自訂，以強制符合合規要求並滿足營運需求，讓必要的日誌得以保留用於稽核與調查，同時儲存成本也能維持在限制範圍內。

使用 Amazon Athena 進行 SQL 查詢

Amazon Athena 允許使用者直接對 Amazon S3 中的資料執行 SQL 查詢，而無需任何形式的資料移動，從而實現快速且靈活的分析作業。安全分析師或工程師能夠在深入調查特定事件或異常時執行臨時查詢，讓他們在調查潛在威脅時更具回應能力。

Athena 也具成本效益，因其無伺服器特性僅會根據查詢中掃描的資料量收費，這使得需要因各種原因分析資訊的使用者能夠大幅受益。

與 AWS QuickSight 整合

AWS QuickSight 是一項雲端原生商業智慧服務，可協助我們將安全資料中的洞察視覺化。QuickSight 具備豐富的功能集，能夠建立儀表板與視覺化內容，以便對來自 AWS Security Lake 並透過 Amazon Athena 存取的資料進行互動式查詢。

此整合可讓安全團隊更深入了解其安全風險，並清楚識別與傳達可視性給利害關係人。QuickSight 的按工作階段計費模式，讓組織能夠分享實用報告，同時具備控制成本的能力。

什麼是 Security Lake Schema 和 OCSF？

AWS Security Lake 的核心是 The Open Cybersecurity Schema Framework (OCSF)，其將安全資料應如何管理加以標準化。它重新定義了來自多個來源的安全事件在分類、儲存與分析上的方式。藉由使用 OCSF，Security Lake 解決了網路安全中常見的問題，也就是資料像在玩障眼法一樣四處移動且彼此不同步。

OCSF 的核心是用於分類安全事件的階層式結構。它指的是可提供更高粒度的類別、類別細項和擴充。舉例來說，網路流量事件會歸入「Network」類別以及「Network Flow」類別細項。標準化欄位包括來源 IP 位址、目的地 IP 位址和通訊協定。這個階層式框架可讓安全分析師篩選大量資料，並在不被龐大資料量淹沒的情況下，深入了解相關資訊。

在 AWS Security Lake 中，OCSF 有一套複雜的正規化流程。資料會從不同地方擷取，且必須經過剖析、對應至 OCSF 屬性、以額外的情境資訊加以豐富，並依據綱要進行驗證。此自動轉換流程可統一各種不同的輸入日誌格式，並支援跨來源分析，而這在過去很困難，甚至幾乎不可能做到。

OCSF 具有一整套預先定義的欄位，同時提供更高的可擴充性，以滿足不同組織的需求。自訂欄位是透過 OCSF 擴充機制實作，並可分別作為額外欄新增至 Parquet 檔案，以及新增至對應的 Athena 資料表定義中。如此一來，組織便能依其特定安全需求塑造此綱要，同時不會失去標準化所帶來的所有優勢。

OCSF 的一大優點是它可以在維持向下相容性的同時進行變更。為了在不破壞既有查詢或資料結構的情況下管理這種成長，Security Lake 實作了可容納綱要更新的版本控制系統。如此一來，組織便能利用綱要改進與新型態的安全事件，同時讓其歷史性的非安全資料維持在可用狀態並受到保留。

AWS Security Lake 的主要優勢是什麼？

以下是 AWS Security Lake 的一些主要優勢：

1. 集中式安全資料: AWS Security Lake 透過集中來自廣泛來源的日誌與事件，包括 AWS 服務、內部部署系統及第三方應用程式，消除了分散於不同工具中的零碎安全資料所帶來的挑戰。這種集中化可提供統一的安全儀表板與警示檢視，否則就必須浪費時間分別在許多資料孤島之間切換瀏覽。
2. 改善威脅偵測: The Open Cybersecurity Schema Framework (OCSF) 可將各種格式的安全資料標準化與正規化，因此能夠主動因應威脅。這種一致性有助於提升威脅偵測能力，並讓您能夠運用高效能分析與機器學習演算法。
3. 更容易符合法規遵循: 法規遵循是許多企業的首要關注事項，而且無論組織屬於哪個產業，都希望始終以符合法規的方式營運。AWS Security Lake 透過將您所有結構化的安全資料集中於單一中央位置，讓稽核與報告作業變得更加容易。
4. 低儲存成本: 由於 AWS Security Lake 建構於 AWS 的可擴展基礎架構之上，組織可在年度支出上節省可觀金額。AWS Security Lake 的定價提供彈性的資料保留原則，因此您可以保留重要的安全事件日誌而不致超出預算。
5. 深度整合: AWS Security Lake 深入資料集之中，並與其他主要安全控制及許多第三方解決方案良好整合。

5 個 AWS Security Lake 最佳實務

以下所述的最佳實務將大幅提升 AWS Security Lake 的安全性與效率。讓我們逐一檢視。

1. 與 AWS Security Hub 整合: 將 AWS Security Lake 與 AWS Security Hub 整合，是組織接收來自其組織內多個不同服務以及其已整合之第三方的安全發現項目的最佳實務。兩者結合後，可讓組織更完整地掌握其法規遵循態勢，以及哪些領域需要處理。
2. 在所有支援的 AWS 區域中啟用 Security Lake: 應在所有支援的 AWS 區域中啟用 Security Lake，以確保其所提供功能的完整效益。
3. 利用 AWS CloudTrail 進行監控: 您應使用 Security Lake 內的 API 來監控使用情況，這是來自 AWS CloudTrail 的原生服務。CloudTrail 也包含任何使用者/角色/群組所執行之每一項 API 操作的完整歷程，對於稽核存取與安全資料變更而言都是權威依據。
4. 定期檢閱並更新資料保留原則: 應在 AWS Security Lake 中定義資料保留原則，以確保每項原則都符合您的組織需求。自訂這些保留設定的能力，可讓組織有效管理其安全資料生命週期。
5. 實施最小權限原則: 就 Amazon Security Lake 而言，遵循 最小權限原則 很重要，這僅允許使用者、群組與角色以最低權限完成其工作。

了解 AWS Security Lake 的限制

雖然 AWS Security Lake 為客戶提供了將安全資料移轉至雲端並集中管理該資訊的高度彈性，但也存在一些限制以及潛在的實作挑戰。讓我們更仔細地看看這些問題。

AWS Security Lake 的目前限制

AWS Security Lake 是一項出色的工具，但也伴隨一些較為僵化的規則／限制。然而，如同所有持續成熟中的技術一樣，了解這些面向對於成功實作及營運／使用此解決方案至關重要。以下是您在採用以 AWS Security Lake 為基礎的解決方案時，可能會遇到的五項關鍵技術問題。

1. 查詢效能瓶頸: AWS Security Lake 本質上是使用 Amazon Athena（基於分散式查詢引擎）來查詢資料。對於許多情境而言，它的效率不錯，但當資料量或查詢數量變得極高時，可能會出現效能問題。特別是，跨越非常大型資料表進行多重聯結的查詢，或需要掃描大量資料的查詢，可能會出現高延遲。這是因為 Athena 的架構會直接從 S3 讀取資料，最終可能導致 I/O 瓶頸。另一個缺點是 Athena 不支援索引，因此在查詢中原本可使用索引的每個篩選操作都會執行完整掃描，這會使大型資料表上的選擇性查詢效能大幅惡化。
2. 資料轉換限制: 雖然 AWS Security Lake 會負責將傳入資料對應至 OCSF 綱要，但對於非標準日誌格式，仍可能發生情境資訊遺失或誤解的情況。AWS Security Lake 採用以規則為基礎的轉換方式，且不支援某些可見於專有日誌格式中的非標準或自訂欄位。
3. 細粒度存取控制挑戰: 雖然 AWS Security Lake 是使用 IAM 建構來進行 存取控制，但要在資料欄位層級提供細粒度存取，仍然是最大的挑戰之一。此服務主要以資料表或分割區為運作單位，因此很難將存取控制細化到個別欄位，更不用說日誌項目中的特定元素。這項限制可能會在滿足嚴格的資料隱私法規時帶來挑戰，因為這些法規要求對誰可以存取特定類型資訊進行審慎控管。
4. 匯出與可攜性：由於 AWS Security Lake 不具備資料匯出功能，因此若日後有需要，您將無法輕鬆下載所有資訊。若要擷取大量資料以進行外部分析，或遷移至其他平台，並非一項直接明瞭的工作。由於它未提供開箱即用的匯出工具，使用者必須撰寫自訂指令碼或使用第三方解決方案，才能從 Security Lake 擷取資料。在某些情境下，此問題難以克服，例如多雲策略、因法規遵循而需將資料保留於外部系統，或需要在 AWS 生態系之外進行專門分析。

實作中的潛在挑戰

1. 與現有安全工具整合: 大多數組織都擁有工具與解決方案的組合，這在整合方面可能會帶來一些挑戰。現有基礎架構是圍繞這些舊有系統所建構。雖然 AWS Security Lake 可能會與這一系列工具並行實作，但仍需要將 OCSF 支援作為整合功能，或進行大量自訂，這會帶來許多挑戰。
2. 資料治理法規遵循：隨著安全資訊的集中化，可能難以因應產業與法規標準。若缺乏這類關於存取、保留與共用的政策，單是資料本身就可能變得極難實作。
3. 以效能為基礎的問題：當組織開始大規模使用 AWS Security Lake 時，可能會遇到效能問題，尤其是在對數百 TB 甚至 PB 的資料執行查詢時。查詢需要快速執行且不會對系統造成過大負擔，因此最佳化通常是必要條件。

結論

AWS Security Lake 是一項功能強大且完全受管的服務，可協助您集中彙整並分析安全資料，具備自動擴展、內建機器學習模型，以及與 AWS 資料來源（例如 VPC Flow Logs）和內部部署環境甚至其他雲端的無縫整合。透過使用 Open Cybersecurity Schema Framework (OCSF)，它可維持正規化與標準化的安全資料，並透過易於使用的規則式回應提供全面的威脅分析。

關鍵在於，在當今的網路世界中，AWS Security Lake 是降低風險並防範最新安全威脅的必備工具。這讓組織能夠完整掌握其安全態勢，提供更深入的威脅偵測能力，並簡化合規報告。

AWS Security Lake 讓安全團隊能夠將來自多個不同來源的資料整合到單一儲存庫中，使其能夠快速取得洞察以改善事件回應，並在日益複雜的威脅情勢中持續保持主動可視性。