什么是云基础设施安全？

云基础设施安全是指旨在增强底层云基础设施安全状况的技术、控制措施和策略。强大的云基础设施安全有助于防范分布式阻断服务（DDoS）事件、数据丢失和配置错误等可能导致意外安全事件的威胁。云基础设施安全是云安全的核心组成部分。

责任共担模式是一个系统，用于确定云服务提供商与您之间特定网络安全措施责任归属。 责任可能由您、云服务提供商单独承担，也可能由双方共同承担。

以下是责任共担模式中各方的主要责任。

云服务提供商的责任

云服务提供商负责保护运行其云服务的物理基础设施。硬件、软件、网络以及与服务相关的所有设施均由云服务提供商负责。

您的责任

您在责任共担模式中的责任由您选择的云服务决定。这些服务共同决定了您在履行安全责任时必须完成的配置工作量。您负责数据管理（包括加密选项）、资产分类以及使用身份与访问管理（IAM）工具应用适当的权限等任务。

责任共担

部分控制措施同时适用于提供商的基础设施层和客户层，但所处的上下文或场景完全独立。在责任共担的情况下，云服务提供商负责落实基础设施相关要求，客户则需在使用云服务时需实施相应的控制措施。这方面的示例包括配置管理、意识培养和培训。

云基础设施是所有云服务的基础，因此其安全性对云中的所有工作负载都至关重要。

以下是云基础设施安全对企业至关重要的几个原因。

帮助防止云环境中未经授权的访问

威胁行为者之所以将目标对准云环境，是因为其中存储着大量数据。云基础设施中的配置错误、控制措施薄弱或潜在漏洞，可能会为未经授权的第三方提供入口点。云基础设施安全措施应识别并控制这些入口点，从而帮助保护公司数据安全并提升数据机密性。

减少对业务连续性的干扰

特定的网络威胁（如分布式阻断服务（DDoS）事件）旨在降低组织按预期运作的能力。 网络分段等云基础设施安全措施有助于主动防御内部和外部威胁，并帮助您的业务运营保持较长的正常运行时间。

保持信任

当组织遭遇网络安全事件（尤其是与存储在云中的客户数据相关的事件）时，可能会导致声誉受损。云基础设施安全性能更好地保护在云中运行的虚拟化服务，从而帮助确保敏感公司数据的私密性。

云基础设施安全解决方案本身通常是云原生的。

以下是云基础设施安全的关键组成部分。

身份和访问管理

组织在云端托管敏感数据和信息，并帮助确保授权用户能够访问这些云资源。身份和访问管理（IAM）定义哪些用户角色可以与数据交互或定位数据。除权限系统外，IAM 还可通过多重身份验证来验证云账户的所有权，帮助阻挡未经授权的用户。

日志记录和遥测

日志记录和遥测服务旨在记录云系统中的特定操作和事件。通过仔细记录访问事件、信息流转和网络安全操作，组织可以进一步了解其云基础设施的运行状况。关键系统发出的操作遥测数据可形成信息轨迹，该轨迹通常用于审计工作。

分析

分析解决方案可以利用操作遥测数据和现有日志数据确定需要进一步调查的不一致、异常或意外事件。安全信息和事件管理（SIEM）等分析系统会聚合数据点，以提醒和跟踪潜在安全事件，并帮助确保云基础设施安全监控系统按预期运行。

网络和设备安全

员工可从各种位置和设备访问您的云环境以及存储在其中的云资源。为了强化这片广阔攻击面低于潜在威胁的能力，您可以部署一系列解决方案。这些解决方案包括网络和设备安全（用于控制入站和出站流量、过滤恶意流量）以及工作负载隔离（帮助确保网络分区隔离）。

数据加密

数据安全是确保所有数据（传输中数据和静态数据）均受到保护、防范未经授权的访问的常规流程。云基础设施安全可以使用数据分类策略，根据数据敏感度为数据添加标签，并应用各类安全措施来保护数据。您可以对静态数据和传输中数据进行加密，以帮助确保只有授权方才能访问敏感数据。数据安全还涉及制定和实施数据丢失预防策略，以增强信息安全。

以下是一些最佳实践，可增强您的云安全策略并帮助保护您的底层云计算基础设施。

创建网络层

创建网络层涉及指根据工作负载组件的功能和敏感度，将其划分为不同逻辑组（例如面向互联网的 Web 服务器或后端数据库）。通过将这些组件置于到独立的子网中，您可以建立明确的边界，并为帮助控制组件间的流量流转创造条件。

这种分层方法支持深度防御策略，其中每层均充当安全检查点。例如，仅应将最外层的资源暴露给互联网，数据库等更敏感的系统则应保持隔离状态，只能通过内部网络访问。

虚拟私有云和私有云基础设施有助于在云中创建逻辑隔离的网络和基础设施。制定定义云网络及使用规范的统一安全策略有助于构建安全的云环境。

控制流量流转

控制流量流转可能涉及对环境进行分段，仅允许工作负载、用户和外部系统之间进行必要的通信。这种流量控制包括管理您的网络与互联网之间的流量（南北向流量）以及网络内部的流量（东西向流量）。

一个常见误区是完全依赖边界防御或默认信任网络层内部的通信。相反，最佳实践强调最低权限原则，即在用户与包括云服务器在内的云资产之间，按点对点方式授予访问权限。以这种方式控制入站和出站流量有助于限制未经授权的访问造成的影响，并缩短安全事件的检测和响应时间。

实施基于检查的保护

实施基于检查的保护意味着当流量在网络层之间传输时，对其进行精细化检查。例如，分析传输中数据的实际内容、元数据和行为。基于检查的保护允许您根据实时威胁情报检测异常情况或潜在的未经授权的访问。您可以根据应用程序上下文、用户身份或已知威胁制定规则，并在敏感工作负载附近采取更严格的防护措施。

实现网络保护自动化

利用基础设施即代码（IaC）和 CI/CD 管道等 DevOps 实践实现网络保护自动化可帮助组织部署更加安全、一致且可重复的网络配置。发生变更时，自动化管道会启动测试和部署工作流程。变更首先部署到暂存环境进行验证，您可在上线前测试其是否按预期运行。

AWS Well-Architected Framework

AWS Well-Architected Framework 提供了一组最佳实践和云安全设计规范，以帮助保护 AWS 工作负载。该框架的安全支柱为如何通过强大的分层云安全和主动保障措施更好地保护您的系统、数据和信息提供了规范性指导。

通过定期查阅 Well-Architected 指南，组织可以改善其云安全状况，帮助确保其云基础设施安全策略持续有效。

云安全是 AWS 的首要任务，我们全球基础设施的设计能够支持业务持续运营。我们提供帮助大规模保护应用程序、数据和工作负载所需的工具和服务来维系与客户及合作伙伴的信任度。AWS 基础设施遍布多个地理区域和可用区，每个区域均设计了多层物理和逻辑控制措施。这些保障措施在其整个生命周期内，均以持续的威胁建模和严格测试为依据。

AWS 提供一系列云基础设施安全服务，以帮助保护您在 AWS 上的组织基础设施安全。

• Amazon GuardDuty 借助智能威胁检测功能，保护您的 AWS 账户、工作负载和数据。
• AWS Identity and Access Management（IAM）能够安全地管理和扩展工作负载和劳动力访问权限，支持您在 AWS 中的敏捷性和创新能力。
• Amazon Inspector 可以自动发现工作负载，例如 Amazon Elastic Compute Cloud（Amazon EC2）实例、容器映像、AWS Lambda 函数和代码存储库，并扫描它们是否存在软件漏洞和意外的网络暴露。
• Amazon Macie 通过使用机器学习和模式匹配发现敏感数据，提供对数据安全风险的可见性，并实现自动化保护。
• AWS Security Hub 会优先处理您的关键安全问题，并帮助您大规模作出响应，以保护您的环境。通过关联信号并将其丰富为切实可行的见解来检测关键问题，从而简化响应。AWS Security Hub 包含云安全态势管理（CSPM）功能，用于了解您当前的安全状况。

立即创建免费账户，开始使用 AWS 上的云基础设施安全性。