Amazon S3 儲存貯體安全性 – 重要性與最佳實務

Amazon S3 儲存貯體用於在 IT 生態系統中的雲端型應用程式儲存任何資料類型。談到資料儲存時，Amazon S3 是 AWS 雲端中的熱門選擇。然而，與資料可見性和資料安全性相關的安全風險有很多。儘管它提供了更高的靈活性，但組織仍需對其儲存在這些儲存貯體中的資料負責。

了解如何保護 S3 儲存貯體並避免敏感資料暴露非常重要。有不同的安全層和實務可用來強化您的 雲端安全 防禦。Amazon S3 bucket connector 會與您的 AWS 環境共用 XDR 資料，並需要設定自訂 AWS IAM 角色。適用於 Amazon S3 的威脅偵測可提供機器速度的防護，以偵測並清除您 S3 儲存貯體中的勒索軟體和惡意軟體。保護 NetApp 儲存設備對於確保業務營運穩定性與完整性至關重要。

為協助組織實現持續可見性並提升安全態勢，使用 Managed XDR 解決方案來擷取 S3 資料日誌並自動化 S3 儲存貯體資料管理至關重要。您可以設定預先定義的規則、降低儲存成本並改善合規性。本指南將涵蓋您需要了解的 Amazon S3 儲存貯體安全性所有內容，包括保護 S3 儲存貯體的最佳實務。請繼續閱讀以下內容以了解更多資訊。

什麼是 Amazon S3 儲存貯體安全性？

Amazon S3 儲存貯體安全性 是消費者與 AWS 供應商之間的共同責任；S3 儲存貯體安全性定義了使用者如何存取其建立的 S3 資源。Amazon S3 儲存貯體安全性涵蓋為所有物件設定權限、授予具時效限制的存取權限，以及支援針對 S3 資源提出請求的稽核日誌，以獲得完整可見性。

使用者可以存取 AWS 指引報告；他們可以利用 AWS 監控服務來檢視 AWS 服務的現有組態與資源使用情況。Amazon S3 儲存貯體安全性涵蓋的其他面向包括：

• 版本控制 – S3 允許使用者建立不同物件的多個版本，並將其儲存在 S3 儲存貯體中。這在發生安全事件時，對災難復原流程和備份特別有幫助。
• 稽核 – 定期稽核您的 S3 儲存貯體組態、存取日誌和權限非常重要，以識別潛在的安全問題與弱點。
• 記錄 – Amazon S3 提供出色的記錄與追蹤功能來監控儲存貯體活動。其中包括管理請求、錯誤處理，以及檢視存取模式。

為什麼 S3 儲存貯體安全性很重要？

不良的 Amazon S3 儲存貯體安全性 可能導致組織遭遇營運失敗並失去客戶信任。S3 儲存貯體用於儲存個人可識別資訊 (PII)、信用卡資料、財務資料、智慧財產權以及其他類型的機密資訊。缺乏 S3 儲存貯體保護可能因 資料外洩 而導致訴訟、身分盜用和驚人的營收損失。

許多產業，例如醫療保健、電子商務、金融，以及政府領域，對資料儲存與安全性都有嚴格的法規與合規要求。Amazon S3 bucket 安全性可確保符合這些法規要求。它也有助於確保業務持續運作、將停機時間降至最低，並防止未經授權的資料修改。良好的 S3 bucket 安全性有助於降低企業總持有成本、防止不必要的資料儲存與傳輸費用，並減少人工資料復原的需求。這是任何整體網路安全計畫的一部分，而 S3 buckets 必須受到保護，以防範外部威脅。

如今，客戶希望在使用任何服務之前先納入最佳的 S3 儲存貯體安全性實務。這對於提升品牌聲譽和保護資料完整性至關重要。

保護 S3 儲存貯體的最佳實務

1. 在儲存貯體政策上實作最小權限存取

將需要存取 S3 儲存貯體的帳戶 IP 位址和 ARN 加入允許清單。啟用封鎖公開存取設定，並移除對 S3 儲存貯體的匿名存取。您可以為需要存取特定儲存貯體的使用者撰寫自訂 IAM 政策。這些政策可設定為管理多位使用者的 Amazon S3 權限。您可以在任何地方使用 IAM 角色，或改為將其作為暫時性憑證和工作階段權杖使用。

請確保您的身分型政策未使用任何萬用字元動作。為了減少人工介入，請在需要時定義 S3 生命週期政策，以依排程自動移除物件。在 GuardDuty 上，您可以啟用 S3 保護來偵測惡意活動，並運用異常偵測與威脅情報。AWS 最近推出了 Macie，這也是另一個用於掃描指定區域外敏感資料的優秀工具。

為了實作最小權限存取，AWS 提供多種工具，例如權限邊界、儲存貯體 ACL（存取控制清單）、服務控制政策等。請完整記錄您在 S3 資源中所有具有授權存取權的身分。

2. 加密靜態與傳輸中的資料

監控您的 AWS 生態系統，找出哪些儲存貯體已停用加密。在儲存貯體層級而非物件層級進行加密非常重要，以保護 S3 儲存貯體資料免於未經授權的存取和資料外洩。

您可以使用 Amazon S3 套用伺服器端加密，並透過使用 S3 版本控制和 S3 物件鎖定來保護資料免於意外刪除。如果您想要額外一層安全性，您可以新增 多重要素驗證 (MFA) 刪除。Amazon S3 具備 CloudTrial 和 S3 伺服器存取記錄功能。您可以使用 CloudWatch 日誌來全面檢視您的安全狀態。請務必根據產業基準檢查您環境的加密標準。

您也可以使用 AES 256 位元加密來加密客戶資料，並在加密程序完成後從記憶體中移除金鑰。客戶提供的加密金鑰運作良好，且由使用者提供。對於客戶管理的金鑰，您可以建立、輪替、停用、稽核，並取得對加密控制的完整存取權。您可以在 S3 層級使用之前，先使用 AWS KMS 主控台建立客戶管理金鑰（CMK）。依預設，Amazon S3 第一次會在 AWS 帳戶中建立 AWS Managed CMK。它會將此 CMK 用於 SSE-KMS，而 Amazon Sigv4 是由 Amazon S3 提供支援、用於簽署 API 請求的驗證機制。若要檢查您物件的加密狀態，您可以使用 S3 inventory 取得更多資訊。您的 S3 儲存貯體可用的四種主要加密管理選項為 SSE-KMS、DSSE-KMS、用戶端加密，以及 SSE-C。

3.  遵循符合最佳實務的安全標準

全球各地的組織都遵循多種可保護 S3 儲存貯體的安全標準。透過遵循其中一些標準，您可以確保 S3 儲存貯體中的資料安全並保護系統。您可以保護持卡人資料、運用 防火牆，並設定密碼設定。請確保您將這些標準套用至所有 AWS 公有雲執行個體。

全球組織為確保 Amazon S3 儲存貯體安全性而遵循的最熱門標準包括：

• National Institute of Standards and Technology (NIST)
• Monetary Authority of Singapore (MAS)
• General Data Protection Regulation (GDPR)
• Payment Card Industry Data Security Standard (PCI DSS)
• Australian Prudential Regulation Authority (APRA)

4.  使用多區域應用程式

您可以使用 DynamoDB 全域資料表，在主要與次要區域之間進行非同步資料複寫。使用 AWS 的多區域應用程式架構來管理具容錯能力的應用程式。您可以利用 AWS 的 S3 跨區域複寫功能來增強 S3 儲存貯體的災難復原能力。

5. 嘗試使用 S3 預先簽署 URL

Amazon S3 物件預設為私有。只有物件擁有者可以存取它們。然而，有時物件擁有者可能想與他人共用物件。使用預先簽署 URL 可讓他們設定自己的安全權限，並授予具時效限制的存取權以下載物件。

您可以使用預先簽署 URL，將具有自訂存續時間的物件連結到 S3 儲存貯體中。例如，您可以為特定儲存貯體產生預先簽署 URL，並使用以下命令使其在 1 週內有效：

aws s3 pre sign s3://DOC-EXAMPLE-BUCKET/test2.txt

--expires-in 604800

6. 使用 S3 儲存貯體安全監控工具並定期進行稽核

您可以使用 Amazon Tag Editor 為 S3 資源加上標籤，以執行安全稽核。您可以為 S3 資源建立資源群組，以有效地管理和稽核這些資源。

CloudWatch 等 AWS 服務可讓您監控 4xxErrors、DeleteRequests、GetRequests 和 PutRequests 等關鍵指標。定期監控這些指標有助於確保 S3 資源的安全性、效能和可用性。

您也可以使用 SentinelOne 等 AI 驅動工具，自動化執行 S3 儲存貯體安全監控、稽核及報告產生。

SentinelOne 如何提供協助？

在 S3 儲存貯體中儲存及使用未經掃描的檔案，可能會帶來各種組織極力避免的安全風險。企業使用 S3 儲存貯體，是因為其具備可擴展且安全的物件儲存解決方案特性。上傳至這些儲存貯體的檔案內容與安全性可能未知，因此客戶需要對其進行掃描，並降低任何可能出現的應用程式弱點。

SentinelOne 可協助組織快速滿足資料主權與法規遵循要求。它可在毫秒內偵測惡意軟體和 zero-days，並透過防止此類威脅擴散來保護雲端環境。使用者可以簡化並自動化檔案威脅分析、輕鬆整合至現有應用程式與工作流程，並享有彈性的涵蓋原則。

SentinelOne 管理主控台可讓使用者管理工作負載、端點和 S3 資源。它可自動探索儲存貯體，並具備強大的防護機制，以防止意外錯誤設定。

以下說明 SentinelOne 如何為組織強化 Amazon S3 儲存貯體安全性：

1. 適用於 Amazon S3 儲存貯體的進階威脅偵測 – SentinelOne 會掃描新增至儲存貯體的每個物件是否含有惡意軟體，並可依需求輕鬆掃描現有檔案。自動擴展、檔案隔離及自訂修復動作可讓組織移除受感染檔案並防止惡意軟體擴散
2. 可設定的雲端原則 – SentinelOne 雲端原則可進行設定，並可自訂以符合您的業務需求；它為資產佈建增加動態彈性，且所有掃描皆在環境內完成。敏感資料絕不會離開雲端環境，而且此保護可輕鬆部署並整合至現有應用程式架構與工作流程
3. 資產清冊管理 – SentinelOne 以強大的雲端威脅狩獵能力保護組織。它可提供工作負載遙測、套用以原則為基礎的防護，並簡化雲端資產清冊儲存管理。它受到 Gartner、MITRE Engenuity、Tevora 等眾多機構的信賴與認可。 Singularity XDR platform 透過即時掌握 attack surfaces、跨平台關聯分析及 AI 驅動的回應動作，為全球領先企業提供防護與賦能。

Take the Tour

Explore threat intelligence in the Singularity Platform, powered by Mandiant.

結論

Amazon S3 儲存貯體安全性全球各地的使用者都會使用這些功能來保護儲存在 S3 儲存貯體中的物件。本指南已涵蓋監控實務、稽核實務，以及預防性安全最佳實務。識別並稽核您的所有資產，是保護 S3 儲存貯體時必須採取的關鍵步驟。當您停用存取控制清單時，資料保護將取決於您自訂原則的撰寫與管理。您也可以利用 Virtual Cloud Endpoint (VCE) 原則，並透過將儲存貯體 ACL 設定重設為預設值，取得完整的儲存貯體控制權所有權。

請確保您的所有儲存貯體都使用正確的原則，且未設為可公開存取。請考慮導入 SentinelOne 等持續性的安全監控與稽核服務，以檢查 S3 實作並管理 AWS Config Rules。好消息是，像 SentinelOne 這樣的平台易於使用且容易設定。您可以向我們預約免費即時示範，並試用我們的各項功能。我們可協助您在當今競爭激烈的環境中持續受到保護。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo