AWS drošība ir būtiska mūsdienu mākoņdatošanas sastāvdaļa. Amazon Web Services (AWS) nodrošina miljoniem lietojumprogrammu, tīmekļa vietņu un enterprise sistēmas visā pasaulē, padarot to par vienu no svarīgākajiem mākoņpakalpojumu sniedzējiem pasaulē. Spēcīgs Amazon tīmekļa pakalpojumu drošība aizsargā lietotnes, datus un infrastruktūru plašā mērogā. Tomēr kopīgās atbildības modelis nozīmē, ka klientiem ir jāpiemēro AWS drošības labākā prakse lai novērstu nepareizas konfigurācijas, akreditācijas datu noplūdes un pipeline riski.
Šajā rokasgrāmatā mēs atbildēsim uz visbiežāk uzdotajiem jautājumiem par AWS, sākot no platformas darbības līdz tās patiesajai drošībai, un parādīsim, kā izstrādātāji var build security guardrails savos CI/CD darbplūsmas, lai nodrošinātu drošību.
📊 AWS drošība skaitļos
Šie skaitļi parāda, kāpēc AWS drošībai jābūt iebūvētai katrā DevSecOps darbplūsmā jau no pirmās dienas:
- In Q2 2025AWS rīkoja 30% globālā mākoņinfrastruktūras tirgus daļa, saglabājot nozares līdera pozīcijas, neskatoties uz Microsoft un Google izaugsmi.
- Pēdējos gados AWS tirgus daļa ir ziņota kā augsta 32% visā pasaulē, uzsverot tā dominējošo stāvokli.
- Nepareizas konfigurācijas joprojām ir lielākais mākoņa drošības risks, kas ir atbildīgs par 23% mākoņdatošanas incidentu saskaņā ar SentinelOne un 25% ar mākoņpakalpojumiem saistītu drošības notikumu in IBM 2024. gada ziņojums.
- Iekš 2024 pirmajā pusēnepareizi konfigurēti pakalpojumi bija sākotnējais ieejas punkts 30% mākoņu uzbrukumu.
- Akreditācijas datu iegūšana bija visbiežākais rezultāts, kas parādījās 28% incidentu, un derīga konta ļaunprātīga izmantošana ir izplatīts uzbrukuma vektors, saskaņā ar IBM X-Force.
- AWS tagad piedāvā Vairāk nekā 200 pakalpojumu, No EC2 aprēķins uz GuardDuty draudu noteikšanaKatram pakalpojumam ir nepieciešama droša konfigurācija, lai izvairītos no riskiem.
Bieži uzdotie jautājumi par Amazon tīmekļa pakalpojumiem
Kas ir Amazon tīmekļa pakalpojumi?
Amazon Web Services (AWS) ir mākoņu platforma kas nodrošina krātuvi, skaitļošanas iespējas, tīklošanu, datubāzes un drošības rīkus, ko varat izmantot pēc pieprasījuma.
Kas ir Amazon Web Services AWS?
Amazon Web Services, ko sauc arī par AWS, ir Amazon mākoņpakalpojumu nodaļa, kas nodrošina vairāk nekā 200 pakalpojumus lietojumprogrammu izveidei un darbībai.
Kas ir Amazon tīmekļa pakalpojumi?
Amazon Web Services ir pieprasījuma mākoņpakalpojumi, piemēram, serveri, krātuve, mašīnmācīšanās un drošības rīki, kas mērogojas atbilstoši jūsu vajadzībām.
Ko dara Amazon Web Services?
Amazon Web Services ļauj uzņēmumiem un izstrādātājiem mitināt lietotnes, apstrādāt datus un aizsargāt darba slodzes, nepārvaldot fizisko aparatūru.
Kam tiek izmantots Amazon Web Services?
Uzņēmumi izmanto AWS, lai pārvaldītu tīmekļa vietnes, mitinātu datubāzes, pārvaldītu konteinerus, apmācītu mākslīgā intelekta modeļus un aizsargātu sensitīvus datus.
Kādus pakalpojumus nodrošina Amazon Web Services?
Amazon Web Services nodrošina skaitļošanas (EC2, Lambda), krātuves (S3, EBS), datubāzes (RDS, DynamoDB), tīklošanas (VPC, CloudFront) un drošības rīkus (IAM, GuardDuty, Inspector).
AWS drošības bieži uzdotie jautājumi
Vai AWS ir drošs?
AWS pati par sevi ir ļoti droša, jo tās datu centri, aparatūra un tīkla infrastruktūra atbilst stingrām prasībām. atbilstība standards. Tomēr AWS drošība ievēro dalītas atbildības modeli. Platforma aizsargā infrastruktūru, savukārt klienti aizsargā savas konfigurācijas. Piemēram, atvērtos S3 segmentus, aizstājējzīmju IAM lomas vai CI/CD pipelinear nopludinātām atslēgām rada reālu atkarību. Tā rezultātā komandām ir jāpielieto AWS drošības labākā prakse, piemēram, jāievēro minimālo privilēģiju ierobežošana, jāiespējo šifrēšana un jāintegrē automatizētas pārbaudes darbplūsmās.
Piemēram, atvērt S3 kausi pakļauts public-read Priekšējās krusteniskās saites (ACL), aizstājējzīmju IAM lomas piešķiršana *:* atļaujas, neaizsargātas Lambda funkcijas skrienot ar AdministratorAccess, vai Drošības grupas atvērts 0.0.0.0/0 ir izplatītas kļūdas, kuras uzbrucēji aktīvi meklē. Turklāt nopludinātas AWS atslēgas vai nepareizi konfigurētas CI/CD pipelines var atklāt veselas vides.
Tā rezultātā komandām ir jāievieš AWS drošības labākā prakse. Tas nozīmē ieviešanu mazākās privilēģijas IAM, Ļaujot šifrēšana pēc noklusējumaun integrējot automatizētas reģistrācijas CI/CD DarbplūsmasJa šie pasākumi tiek piemēroti konsekventi, tie pārvērš AWS drošību par nepārtrauktu aizsardzības pasākumu, nevis manuālu kontrolsarakstu.
Cik droši patiesībā ir Amazon Web Services?
Amazon Web Services drošība ir balstīta uz spēcīgiem primitīviem, piemēram, IAM piekļuves kontrolei, KMS šifrēšanai, un GuardDuty anomāliju noteikšanaiŠie rīki padara AWS par vienu no drošākajiem pieejamajiem mākoņpakalpojumu sniedzējiem.
Tomēr šie aizsardzības līdzekļi ir efektīvi tikai tad, ja tos izmanto ikdienas darbplūsmās. Daudzi pārkāpumi joprojām notiek tāpēc, ka Drošības grupas atļaut neierobežoti 0.0.0.0/0 ienākošā piekļuve, CloudTrail reģistrēšana nav iespējots visos reģionos vai EBS apjomi tiek palaisti bez šifrēšanas.
Tāpēc pati platforma ir droša, bet nepareiza konfigurācija un nolaidība rada ievainojamības. Lai mazinātu šos riskus, komandām ir jānodrošina AWS drošības labākā prakse ar politiku kā kodu, automatizēta IaC skenēšanu un obligātu reģistrēšanu. Turklāt šo drošības pasākumu integrēšana pipelines nodrošina Amazon Web Services drošības uzticamību plašā mērogā.
Vai AWS pēc noklusējuma ir drošs?
AWS piedāvā stabilu pamatu ar šifrēšanu, atbilstības sertifikātiem un globāli aizsargātu infrastruktūru. Tomēr noklusējuma iestatījumi neaptur visus riskus. Drošība ir atkarīga no tā, kā komandas konfigurē katru pakalpojumu.
Piemēram, komanda var atklāt jaunu S3 segmentu ar vienu public-read ACL. Izstrādātājs var arī palaist Lambda funkciju ar AdministratorAccess atļaujas, kas rada tūlītēju privilēģiju eskalācijas ceļu. Komandas, kas izlaiž tiesību pastiprināšanu, bieži atstāj EBS momentuzņēmumus vai RDS dublējumkopijas koplietotos stāvokļos, kurus ikviens var izmantot.
Spēcīgs Amazon tīmekļa pakalpojumu drošība rodas no labākās prakses konsekventas piemērošanas. Izstrādātājiem ir jāraksta nocietināta infrastruktūra kā koda veidnes, skenējot IaC nepārtraukti un īstenot guardrails in CI/CD pipelines.
Kad komandas ievēro šo pieeju, tās novērš bīstamu informācijas atkļūšanu pirms tās publicēšanas. Automatizācija nodrošina šo aizsardzību visās vidēs un novērš nepieciešamību paļauties uz manuālu pārskatīšanu.
Galvenie AWS drošības pakalpojumi
Kas ir drošības grupa AWS?
A Drošības grupa AWS darbojas kā virtuāls ugunsmūris. Tas filtrē ienākošo un izejošo trafiku, meklējot resursus, piemēram, EC2 instances, RDS datubāzes un Lambda funkcijas. Pēc noklusējuma drošības grupa bloķē visus ienākošos savienojumus un atļauj izejošo trafiku. Tomēr izstrādātājiem ir skaidri jākonfigurē noteikumi.
Piemēram, atverot 22. portu ar 0.0.0.0/0 ļauj SSH no jebkuras vietas internetā. Tā rezultātā uzbrucēji var brutāli ielauzties pieteikšanās datos dažu minūšu laikā. Turklāt Terraform vai CloudFormation veidnēs, kas kopētas no vecām krātuvēm, bieži parādās pārāk plaši noteikumi.
Tāpēc izstrādātājiem vajadzētu ieviest vismazāko privilēģiju piekļuvi. Tā vietā, lai piešķirtu neierobežotus ienākošos noteikumus, definējiet konkrētus IP diapazonus, portus un protokolus. Turklāt infrastruktūras skenēšana kā kods CI/CD pipelinenodrošina, ka nedroši drošības grupas noteikumi nekad nesasniedz ražošanas vidi.
Kas ir AWS drošības centrs?
AWS drošības centrs apkopo rezultātus no vairākiem AWS pakalpojumiem, piemēram, GuardDuty, Inspector un IAM Access Analyzer. Tas nodrošina vienotu dashboard kas parāda nepareizas konfigurācijas, atbilstības nepilnības un drošības brīdinājumus visos jūsu AWS kontos.
Piemēram, AWS Security Hub izceļ atvērtos S3 segmentus, aizstājējzīmju IAM politikas vai atspējotus CloudTrail žurnālus. Rezultātā komandas iegūst ieskatu riskos, kas bieži vien slēpjas lielās vidēs.
Turklāt AWS Security Hub integrējas ar pielāgotiem skeneriem un trešo pušu rīkiem. Izstrādātāji var nosūtīt atradumus tieši uz centru, korelēt tos ar GuardDuty brīdinājumiem un aktivizēt automātiskas atbildes, izmantojot EventBridge.
Tāpēc AWS Security Hub neaizstāj uzraudzības pakalpojumus. Tā vietā tas centralizē rezultātus, lai izstrādātāji un drošības komandas varētu rīkoties ātrāk, nepārslēdzot kontekstu.
Kā lietot AWS drošības centru?
Izmantot AWS drošības centrs, vispirms tas ir jāiespējo katrā AWS reģionā, kurā tiek darbinātas darba slodzes. Pēc aktivizēšanas Security Hub sāk apkopot atradumus no atbalstītajiem pakalpojumiem, piemēram, Inspector, GuardDuty un Config.
Piemēram, pēc AWS Security Hub iespējošanas jūs varat automātiski noteikt EC2 instances ar novecojušiem AMI, IAM lomām ar administratora tiesībām vai nešifrētām RDS datubāzēm. Tā rezultātā jūs redzat problēmas, kuras uzbrucēji varētu izmantot ilgi pirms tās sasniedz ražošanas vidi.
Turklāt izstrādātāji var izveidot savienojumu CI/CD pipelinelai nosūtītu nepareizas konfigurācijas uz drošības centru. Piemēram, ja Terraform veidne definē publisku S3 segmentu, atradums tiek parādīts drošības centrā. dashboardTādēļ komandas var izmantot Security Hub gan kā atbilstības pārbaudītāju, gan kā reāllaika brīdināšanas sistēmu.
Turklāt AWS Security Hub atbalsta automatizāciju. Izmantojot EventBridge, varat aktivizēt Lambda funkcijas, kas nekavējoties novērš riskantas izmaiņas. Tā vietā, lai tikai rādītu brīdinājumus, AWS Security Hub kļūst par aktīvu aizsargbarjeru jūsu mākoņa drošības darbplūsmā.
Kas ir AWS drošības žetonu pakalpojums (STS)?
AWS drošības žetonu pakalpojums (STS) izsniedz pagaidu, ierobežotas privilēģijas akreditācijas datus, ko lietojumprogrammas un pakalpojumi var izmantot, lai piekļūtu AWS resursiem. Atšķirībā no ilgtermiņa piekļuves atslēgām, STS žetoni automātiski zaudē spēku pēc neilga laika.
Piemēram, ja a CI/CD pipeline izvieto infrastruktūru, tas var pieprasīt STS marķieri tikai ar atļaujām, kas nepieciešamas šim uzdevumam. Tā rezultātā uzbrucēji vēlāk nevar atkārtoti izmantot akreditācijas datus, jo marķiera derīguma termiņš beidzas.
Turklāt AWS drošības žetonu pakalpojums integrējas ar IAM lomām. Izstrādātāji var uzņemties lomas dažādos kontos, neiekodējot pastāvīgas atslēgas kodā vai konfigurācijas failos. Tādēļ STS samazina akreditācijas datu noplūdes risku Git vēsturē vai Docker attēlos.
Turklāt STS nodrošina vismazākās privilēģijas pēc būtībasTā vietā, lai atklātu statiskus administratora akreditācijas datus, jūs ģenerējat žetonus, kas ir saistīti ar konkrētām darbībām. Praksē tas ierobežo sprādziena rādiusu, ja a pipeline vai konteiners tiek apdraudēts.
AWS drošības labākā prakse
Amazon Web Services drošība ir visspēcīgākā, ja komandas ievieš konsekventas, automatizētas AWS drošības labākās prakses. Katra prakse risina bieži sastopamu kļūmes punktu mākoņvidē. Piemēram, vismazāko privilēģiju IAM ieviešana, datu šifrēšana pēc noklusējuma un infrastruktūras skenēšana kā kods palīdz novērst nepareizas konfigurācijas pirms izvietošanas. Īstā atšķirība starp manuālu kontrolsarakstu un faktisko aizsardzību rodas automatizācijā, kas darbojas darbplūsmas ietvaros, nodrošinot, ka šīs AWS drošības labākās prakses tiek piemērotas katru reizi.
1. Identitātes un piekļuves pārvaldība (IAM)
Pārāk plašas atļaujas ir viens no ātrākajiem veidiem, kā uzbrucēji iegūst kontroli pār AWS kontiem. Tā vietā, lai paļautos uz root kontu vai piešķirtu administratora līmeņa lomas, ieviesiet minimālās privilēģijas. Izveidojiet detalizētas IAM politikas, regulāri nomainiet piekļuves atslēgas un pieprasiet MFA visur.
Praksē IAM kļūdas bieži rodas pakalpojumā Terraform vai CloudFormation. Automatizēta skenēšana CI/CD var pamanīt un bloķēt riskantas lomas pirms izvietošanas.
2. Datu aizsardzība un šifrēšana
Komandām ir jāšifrē sensitīvi dati gan miera stāvoklī, gan pārsūtīšanas laikā. AWS pakalpojumi, piemēram, KMS vai CloudHSM, nodrošina spēcīgu šifrēšanu, taču izstrādātāji bieži aizmirst iespējot šos iestatījumus. Šādā gadījumā uzbrucēji var lasīt S3 objektus, klonēt neaizsargātus EBS sējumus vai pārtvert nešifrētu RDS datplūsmu.
Šīs kļūdas var novērst, skrienot pipeline pārbaudes. CI/CD Skenēšanas pārbauda, vai katrā S3 segmentā, RDS instancē un EBS sējumā pirms izvietošanas ir iekļauti šifrēšanas iestatījumi. Tādā veidā jūs pēc noklusējuma ieviešat šifrēšanu, nevis paļaujaties uz izstrādātājiem, lai tie atcerētos.
3. Droša infrastruktūra kā kods (IaC)
Komandas parasti nodrošina AWS resursus, izmantojot Terraform vai CloudFormation. Tomēr kopētās veidnes bieži vien ievieš bīstamus noklusējuma iestatījumus, piemēram, publiskus S3 segmentus vai drošības grupas, kas ir atvērtas 0.0.0.0/0Izstrādātāji var piegādāt šīs veidnes, neapzinoties, ka tās pakļauj darba slodzes internetam.
Jūs varat novērst šos riskus, skenējot IaC pirms apvienošanas pull requestsAutomatizētas pārbaudes nodrošina Amazon Web Services drošības paraugprakse tieši kodā. Tā vietā, lai nedrošas noklusējuma vērtības nepaliktu manuāli pārskatītas, pipelinebloķē izmaiņas un mudina izstrādātājus tās nekavējoties labot.
4. Darba slodzes aizsardzība (konteineri un kods)
AWS lietojumprogrammas bieži vien ir atkarīgas no konteineru attēliem un atvērtā pirmkoda pakotnēm. Abi ir bieži uzbrukumu vektori. Nedrošs kods, piemēram, SQL injekcija vai cietkodā ierakstītas AWS atslēgas, var arī apdraudēt darba slodzes.
ECR attēlu un lietojumprogrammu koda automatizēta skenēšana palīdz atklāt CVE, ļaunprogrammatūru un noslēpumi attīstības cikla sākumā.
5. Uzraudzība, reģistrēšana un automatizēta reaģēšana
AWS nodrošina GuardDuty, Inspector un CloudTrail. Tomēr tie uzlabo drošību tikai tad, ja tiek reaģēts uz brīdinājumiem. Pārāk bieži atklājumi netiek ievēroti izlaišanas spiediena laikā.
Guardrails in CI/CD pipelineļauz aizdomīgām konfigurācijām vai ievainojamiem komponentiem aktivizēt automātiskus labojumus vai ieviestas politikas. Problēmas netiek konsekventi novērstas kā daļa no darbplūsmas, nevis tiek paļautas uz manuālām pārskatīšanām.
| Prakse | Kāpēc tas ir svarīgi | Kā ar to rīkoties CI/CD | Darīts |
|---|---|---|---|
| IAM vismazākās privilēģijas, atslēgu rotācija, MFA | Neļauj uzbrucējiem ļaunprātīgi izmantot vājus vai neizmantotus akreditācijas datus | Skenējiet Terraform/CloudFormation politikas un bloķējiet pārāk atļaujošas lomas. | ⬜ |
| Atspējot root kontu ikdienas lietošanai | Novērš visbīstamāko vienīgo kļūmes punktu | Revīzija pipelineun karodziņu root vai administratora lomu izmantošana | ⬜ |
| Šifrējiet visus datus ar KMS vai CloudHSM | Saglabā sensitīvus datus drošībā gan miera stāvoklī, gan pārsūtīšanas laikā | Pirms izvietošanas pārbaudiet S3, RDS un EBS konfigurācijas, vai trūkst šifrēšanas. | ⬜ |
| Skenēt IaC veidnes | Novērš riskantus saistību neizpildes gadījumus, piemēram, atvērtus S3 segmentus vai plaši atvērtas drošības grupas | Pirms PR apvienošanas veiciet skenēšanu pakalpojumā Terraform/CloudFormation | ⬜ |
| Skenēt konteinera attēlus | Novērš apdraudētas darba slodzes EKS vai ECS sistēmās | Pārbaudiet ECR attēlus, lai atrastu CVE, slepenus apdraudējumus un ļaunprogrammatūru. CI/CD Būvē | ⬜ |
| Iespējot GuardDuty, Inspector un CloudTrail | Nodrošina anomāliju noteikšanu un audita takas | Pārliecinieties, vai uzraudzība un reģistrēšana ir aktīva katrā AWS kontā un reģionā. | ⬜ |
| Automatizēt labošanu pipelines | Novērš nedrošu izmaiņu nonākšanu ražošanas vidē | Izmantojiet automātisko labošanu vai automātiski pārtrauciet būvējumus, ja tiek atrastas kritiskas problēmas | ⬜ |
Kā Xygeni palīdz komandām piemērot AWS drošības labāko praksi
Amazon Web Services drošība darbojas tikai tad, ja komandas to pareizi konfigurē un īsteno drošības pasākumus savās sistēmās. pipelines. Manuālas pārskatīšanas nav pietiekamas. Šeit ir runa Ksigēni iederas: tas automatizē noteikumu izpildi AWS drošības labākā prakse tieši izstrādātāju darbplūsmās.
- Savlaicīgi atklājiet IAM riskus
Xygeni skenē Terraform un CloudFormation veidnes, meklējot aizstājējzīmju lomas, pārāk plašas politikas vai root lietojumu. Tas bloķē riskantas konfigurācijas, pirms tās nonāk ražošanas vidē. - Ieviest šifrēšanu visur
Pipeline pārbaudes nodrošina, ka S3 segmenti, RDS datubāzes un EBS sējumi nekad netiek palaisti bez šifrēšanas. Izstrādātāji redz skaidrus brīdinājumus savos pull requests. - Droša infrastruktūra kā kods
Xygeni atsauksmes IaC nedrošiem noklusējuma iestatījumiem, piemēram, publiskiem S3 segmentiem vai 0.0.0.0/0 drošības grupām. Nedrošas izmaiņas tiek apturētas pie commit laiks, nevis ieslīgšana ražošanā. - Aizsargāt darba slodzes
Platforma skenē ECR attēlus un atvērtā pirmkoda atkarības, lai atrastu CVE, ļaunprogrammatūru un slepenus kodus. Tā attiecas arī uz SAST lietojumprogrammas kodā, atklājot ievainojamības ilgi pirms izlaišanas. - Automatizēt koriģējošo darbību
Izmantojot AutoFix, Xygeni ne tikai atzīmē problēmas. Tas ģenerē drošus ielāpus jeb PR, lai izstrādātāji novērstu problēmas ar minimālu berzi. - Guardrails in CI/CD
Guardrails ļauj iestatīt politikas, piemēram, “nav nešifrētu S3 segmentu” vai “nav privileģētu konteineru”. Ja rodas pārkāpums, būvējums automātiski pārtrūkst.
Tā rezultātā komandas pēc noklusējuma, nevis pēc apsvēruma, piemēro Amazon Web Services drošības labāko praksi. Tā vietā, lai paļautos uz manuālām pārskatīšanām vai pēcapstrādi, Xygeni nodrošina katru commit, veidne un darba slodze atbilst AWS drošības kontrolēm.
