AWS云网络：安全策略的有效保护与进一步应用

2023-11-18 理论教育版权反馈

【摘要】：AWS网络提供应对传统网络安全问题的有效保护，并可以实现进一步的保护。

1.容错设计

核心应用程序以一个N+1配置被部署，从而当一个数据中心发生故障的情况下，仍有足够的能力使剩余位置的流量负载平衡。AWS由于其多地理位置以及跨多个可用区的特点，可以让用户灵活地存放实例和存储数据。每一个可用性区域被设计成一个独立区域。

2.安全访问

客户端接入点通常都采用HTTPS，允许用户在AWS内与自己的存储和计算实例建立一个安全通信会话。为了支持客户FIPS 140-2的要求，亚马逊虚拟私有云VPN端点和AWS GovCloud（美国）中的SSL终端负载均衡进行操作使用FIPS 140-2第2级验证的硬件。此外，AWS还实施了专门用于管理与互联网服务提供商的接口的通信网络设备。AWS在AWS网络的每个面向互联网边缘采用一个到多个通信服务的冗余连接，每个连接都专用于网络设备。

3.传输保护

用户可以通过HTTP或HTTPS与AWS接入点进行连接，HTTP或HTTPS使用SSL协议。对于需要网络安全的附加层的客户，AWS提供VPC，提供了AWS云中的专用子网，并具有使用VPN设备来提供VPC和用户数据中心之间加密隧道的能力。

4.加密标准

AWS的加密标准为AES-256，客户存储在S3中的数据会自动进行加密。针对必须使用硬件安全模块（HSM）设备来实现加密密钥存储的客户，可以使用AWS CloudHSM存储和管理密钥。

5.内置防火墙

AWS可以通过配置内置防火墙规则来控制实例的可访问性，既可完全公开，又可完全私有，或者介于两者之间。当实例驻留在VPC子网中时，便可控制出口和入口。

6.网络监测和保护

AWS利用各种各样的自动检查系统来提供高水平的服务性能和可用性。AWS监控工具被设计用于检测在入口和出口通信点不寻常的或未经授权的活动和条件。这些工具可以监控服务器和网络的使用、端口扫描活动、应用程序的使用以及未经授权的入侵企图。同时，它们还可以给异常活动设置自定义的性能指标阈值。AWS网络提供应对传统网络安全问题的有效保护，并可以实现进一步的保护。

7.账户安全与身份认证

Amazon使用的是AWS账户，AWS的IAM允许客户在一个AWS账户下建立多个用户，并独立地管理每个用户的权限。当访问Amazon服务或资源时，只需要使用AWS账户下的某个用户即可。(www.chuimin.cn)

8.账户复查和审计

账户每隔90天审查一次，明确的重新审批要求或对资源的访问被自动撤销。当一个员工的记录在Amazon的人力资源系统被终止时，它对AWS的访问权限也将被自动取消。在访问中的变化请求都会被Amazon权限管理工具审计日志捕获。当员工的工作职能发生改变，继续访问资源时必须明确获得批准，否则将被自动取消。

9.EC2的安全措施

在EC2中，安全保护包括宿主操作系统安全、客户操作系统安全、防火墙和API保护。宿主操作系统安全基于堡垒主机和权限提升。客户操作系统安全基于客户对虚拟实例的完全控制，利用基于Token或密钥的认证来获取对非特权账户的访问。在防火墙方面，使用默认拒绝模式，使得网络通信可以根据协议、服务端口和源口地址进行限制。API保护指所有API调用都需要X.509证书或客户的Amazon秘密接入密钥的签名，并且能够使用SSL进行加密。此外，在同一个物理主机上的不同实例通过使用Xen监督程序进行隔离，并提供对抗分布式拒绝服务攻击、中间人攻击和对欺骗的保护^[13]。

10.SimapleDB的安全措施

在SimpleDB中，提供Domain-level的访问控制，基于AWS账户进行授权。一旦认证之后，订购者具有对系统中所有用户操作的完全访问权限，SimpleDB服务也通过SSL加密访问。

11.S3的安全措施

通过SSL加密来防止传输的数据被拦截，并允许用户在上传数据之前进行加密等。具体来讲如下：

（1）账户安全访问Amazon服务或资源时，只需要使用AWS账户下的某个用户，而不需要使用拥有所有权限的SWA账户。除传统的用户名和密码验证措施外，Amazon提供多因子认证（MFA），即可以为AWS账户或其下的用户匹配一个硬件认证设备，使用该设备提供的一次性密码（6位数字）来登录，这样，除验证用户名和密码之外，还验证了用户所拥有的设备。

（2）访问控制 S3 提供的对象和桶级的两种访问控制各自独立实现，它们有各自独立的访问控制列表，在默认情况下，只有对象/桶的创建者才有权限访问它们。当然用户可以授权给其他AWS账户或使用IAM创建的用户，被授权的用户将被添加到访问控制列表中。S3提供REST或SOAP请求来访问对象，客户在构造URL的过程中，为了证明自己的身份并且防止请求在传输过程中被篡改，需要在请求中提供签名。S3使用HMAC-SHA1，摘要长度为160位。至于使用的密钥，Amazon则在用户注册时分发。

（3）数据安全传输在数据传输过程中，用户能够使用SSL来保护自己的数据在传输过程中的安全性。对于敏感数据，用户能以加密的形式存储在S3上。S3提供客户端加密与服务器端加密两种加密方式。这两种方式的区别在于密钥由谁来掌管，如果用户信任S3，则可以选择使用服务器端加密，这种方式下的加密密钥由S3保管，在用户需要取回数据时，解密操作也由S3来负责。如果用户选择在上传数据之前进行加密，即选取使用S3客户端加密，其好处在于密钥由用户自己保管，杜绝数据在云服务商处被泄露的可能，但同时客户端需要保证具有良好的密钥管理机制。

（4）数据保护存储在S3中的数据会被备份到多个节点上，即S3维护着一份数据的多个副本，这样保证即使某些服务器出现故障，用户数据仍然是可用的。这种机制增加了数据同步的时间开销，导致用户在对对象做出更新等操作后立即读取到的可能还是旧的内容，但却保证了数据的安全性与一致性。

为了在数据的上传、存储以及下载各阶段保证数据的完整性，用户可以在上传数据的时候指定其MD5校验值，以供S3在接收完数据之后判断传输中是否发生任何错误。而当数据成功地存储到S3存储节点之后，S3则混合使用MD5校验和与循环冗余校验机制来检测数据的完整性，并使用正确的副本来修复损坏的数据。

AWS云网络：安全策略的有效保护与进一步应用

相关推荐