本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
安全、身份和合规性
主题
- Amazon Cognito
- Amazon Detective
- Amazon GuardDuty
- Amazon Inspector
- Amazon Macie
- Amazon Security Lake
- Amazon Verified Permissions
- AWS Artifact
- AWS Audit Manager
- AWS Certificate Manager
- AWS CloudHSM
- AWS Directory Service
- AWS Firewall Manager
- AWS Identity and Access Management
- AWS Key Management Service
- AWS Network Firewall
- AWS Resource Access Manager
- AWS Secrets Manager
- AWS Security Hub
- AWS Shield
- AWS IAM Identity Center
- AWS WAF
- AWS WAF 验证码
Amazon Cognito
Amazon Cognito
此外,Amazon Cognito 还允许您在用户设备上本地保存数据,即使设备处于离线状态,您的应用程序也能正常运行。然后,您可以跨用户的设备同步数据,这样无论他们使用何种设备,他们的应用程序体验都保持一致。
借助 Amazon Cognito,您可以专注于创建出色的应用程序体验,而不必担心构建、保护和扩展解决方案来处理用户管理、身份验证和跨设备同步。
Amazon Detective
Amazon
AWS Amazon GuardDuty、Amazon Macie 等安全服务以及合作伙伴安全产品可用于识别潜在的安全问题或发现。 AWS Security Hub这些服务非常有助于在 AWS 部署中可能出现未经授权的访问或可疑行为的时间和地点向您发出警报。但是,有时您希望对导致发现的事件进行更深入的调查,以纠正根本原因。对于安全分析人员来说,确定安全发现的根本原因可能是一个复杂的过程,通常涉及从多个数据源收集和合并日志,使用提取、转换和加载 (ETL) 工具以及自定义脚本来组织数据。
Amazon Detective 使您的安全团队能够轻松调查并快速找到发现的根本原因,从而简化了这一过程。Detective 可以分析来自多个数据源的数万亿个事件,例如亚马逊虚拟私有云 (VPC)、 AWS CloudTrail Flow Logs 和亚马逊。 GuardDutyDetective 使用这些事件自动创建统一的交互式视图,显示您的资源、用户以及他们之间随着时间的推移而发生的互动。有了这个统一的视图,你可以在一个地方可视化所有细节和背景,以确定发现的根本原因,深入研究相关的历史活动,并快速确定根本原因。
只需点击几下,你就可以开始使用 Amazon Detective AWS Management Console了。无需部署软件,也无需启用和维护数据源。您可以免费试用 Detective,新账户可免费试用 30 天。
Amazon GuardDuty
Amazon GuardDuty
AWS Organizations Amazon 只需点击几下即可启用, AWS Management Console 并在其支持下在整个组织范围内轻松进行管理, GuardDuty 可以立即开始分析您 AWS 账户中的数十亿个事件,以寻找未经授权使用的迹象。 GuardDuty 通过集成的威胁情报源和机器学习异常检测来识别可疑攻击者,以检测账户和工作负载活动中的异常。当检测到潜在的未经授权的使用时,该服务会向 GuardDuty 控制台、Amazon Ev CloudWatch ents 和 AWS Security Hub。这使得调查结果具有可操作性,并且易于集成到现有的事件管理和工作流程系统中。通过直接从 GuardDuty 控制台使用 Amazon Detective,可以轻松完成进一步调查以确定发现的根本原因。
GuardDuty Amazon 具有成本效益且易于操作。它不需要您部署和维护软件或安全基础架构,这意味着它可以快速启用,而不会对现有应用程序和容器工作负载产生负面影响。无需预付成本 GuardDuty,无需部署软件,也无需启用威胁情报源。此外,通过应用智能筛选器并仅分析与威胁检测相关的部分日志来 GuardDuty优化成本,并且新的Amazon GuardDuty 账户可免费使用30天。
Amazon Inspector
Amazon Inspector
与亚马逊 Inspector Classic 相比,Amazon Inspector 例如,新的 Amazon Inspector 通过将常见漏洞和风险敞口 (CVE) 信息与网络访问和可利用性等因素关联起来,计算出每项发现的高度情境化的风险评分。该分数用于对最严重的漏洞进行优先排序,以提高修复响应效率。此外,Amazon Inspec AWS Systems Manager tor 现在使用广泛部署的代理(SSM 代理),您无需部署和维护独立代理来运行 Amazon EC2 实例评估。对于容器工作负载,Amazon Inspector 现已与 Amazon Elastic Container Registry (Amazon ECR) 集成,以支持对容器映像进行智能、经济高效且持续的漏洞评估。所有调查结果都汇总在 Amazon Inspector 控制台中 AWS Security Hub,发送到亚马逊并通过亚马逊推送, EventBridge 以实现工单等工作流程的自动化。
所有新使用 Amazon Inspector 的账户都有资格获得 15 天的免费试用,以评估该服务并估算其成本。在试用期间,所有符合条件的 Amazon EC2 实例和推送到 Amazon ECR 的容器镜像都将免费持续扫描。
Amazon Macie
Amazon Macie
在多账户配置中,一个 Macie 管理员账户可以管理所有成员账户,包括跨账户创建和管理敏感数据发现任务。 AWS Organizations安全和敏感数据发现结果汇总到 Macie 管理员账户中,并发送到 Amazon Event CloudWatch s 和 AWS Security Hub。现在,只需一个帐户,您就可以与事件管理、工作流程和票务系统集成,或者将 Macie 的调查结果与一起 AWS Step Functions 自动执行补救措施。您可以使用 30 天免费试用 S3 存储桶清单和存储桶级别评估的新账户快速开始使用 Macie。存储桶评估的 30 天试用版中不包括敏感数据发现。
Amazon Security Lake
Amazon Security Lake 将来自本地 AWS 环境、SaaS 提供商和云源的安全数据集中到专门构建的数据湖中,并存储在您的数据湖中。 AWS 账户 Security Lake 可自动收集和管理跨账户的安全数据, AWS 区域 因此您可以使用首选的分析工具,同时保留对安全数据的控制权和所有权。借助 Security Lake,您还可以改善对工作负载、应用程序和数据的保护。
Security Lake 可自动从集成 AWS 服务和第三方服务中收集与安全相关的日志和事件数据。它还可以通过可自定义的保留设置帮助您管理数据的生命周期。数据湖由 Amazon S3 存储桶提供支持,您保留对数据的所有权。Security Lake 会将摄取的数据转换为 Apache Parquet 格式和名为开放网络安全架构框架 (OCSF) 的标准开源架构。在 OCSF 的支持下,Security Lake 可以标准化 AWS 并合并来自各种企业安全数据源的安全数据。
其他 AWS 服务和第三方服务可以订阅存储在 Security Lake 中的数据,用于事件响应和安全数据分析。
Amazon Verified Permissions
Amazon V
Verified Permissions 使用 Cedar
AWS Artifact
AWS Artifact
AWS Audit Manager
AWS Audit Manager
通过将您的 AWS 资源与行业标准或法规(例如CIS AWS Foundations Benchmark、《通用数据保护条例》(GDPR) 和支付卡行业数据安全标准 (PCI DSS))的要求对应起来, AWS Audit Manager 预先构建的框架有助于将云服务的证据转化为便于审计员使用的报告。您还可以根据自己的独特业务需求完全自定义框架及其控件。根据您选择的框架,Audit Manager 会启动一项评估,持续收集和整理来自您的 AWS 账户和资源的相关证据,例如资源配置快照、用户活动和合规性检查结果。
您可以在. 中快速入门 AWS Management Console。只需选择一个预先构建的框架即可启动评估,然后开始自动收集和整理证据。
AWS Certificate Manager
AWS Certificate Manager
借助 AWS Certificate Manager,您可以快速申请证书,将其部署到集成 ACM 的 AWS 资源上,例如 Elastic Load Balancing、Amazon CloudFront 分配和 API Gateway 上的 API,然后让我们来 AWS Certificate Manager 处理证书续订。它还使您能够为内部资源创建私有证书,并集中管理证书生命周期。通过预配置的 AWS Certificate Manager 用于集成 ACM 的服务的公有和私有证书是免费的。您只需为为运行应用程序而创建的 AWS 资源付费。
使用 AWS Private Certificate Authority
AWS CloudHSM
AWS CloudHSM
AWS CloudHSM 符合标准,允许您根据自己的配置将所有密钥导出到大多数其他市售的 HSM。它是一项完全托管的服务,可为您自动执行耗时的管理任务,例如硬件配置、软件修补、高可用性和备份。 AWS CloudHSM 还使您能够通过按需添加和移除 HSM 容量来快速扩展,而无需支付前期成本。
AWS Directory Service
AWS Directory Service
AWS Firewall Manager
AWS Firewall Manager
AWS Identity and Access Management
AWS Identity and Access Management
-
您可以在 AWS IAM Identity Center
(IAM 身份中心)中管理员工用户和工作负载的 AWS 权限。IAM 身份中心允许您管理多个 AWS 账户的用户访问权限。只需点击几下,您就可以启用高度可用的服务,轻松地AWS Organizations 集中管理多账户访问权限和所有账户的权限。IAM Identity Center 包括与许多业务应用程序的内置 SAML 集成,例如 Salesforce、Box 和微软 Office 365。此外,您可以创建安全断言标记语言 (SAML) 2.0 集成,并将单点登录访问权限扩展到任何支持 SAML 的应用程序。您的用户只需使用他们配置的凭据登录用户门户,或者使用他们现有的公司凭据即可从一个地方访问所有分配的账户和应用程序。 -
管理单账户 IAM 权限
:您可以使用权限指定对 AWS 资源的访问权限。默认情况下,您的 IAM 实体(用户、群组和角色)一开始没有权限。通过附加 IAM 策略,可以为这些身份授予权限,该策略指定访问类型、可以执行的操作以及可以对其执行操作的资源。您还可以指定必须设置的条件才能允许或拒绝访问。 -
管理单账户 IAM 角色
:IAM 角色允许您向通常无法访问组织 AWS 资源的用户或服务委派访问权限。IAM 用户或 AWS 服务可以扮演角色以获取用于进行 AWS API 调用的临时安全证书。您不必共享长期证书,也不必为每个身份定义权限。
AWS Key Management Service
AWS Key Management Service
AWS Network Firewall
AWS Network Firewall
AWS Network Firewall 包括针对常见网络威胁提供保护的功能。 AWS Network Firewall 状态防火墙可以整合来自流量流的上下文(例如跟踪连接和协议识别),以强制执行策略,例如防止您的 VPC 使用未经授权的协议访问域。入 AWS Network Firewall 侵防御系统 (IPS) 提供主动流量检查,因此您可以使用基于签名的检测来识别和阻止漏洞利用。 AWS Network Firewall 还提供 Web 过滤功能,可以阻止流向已知不良 URL 的流量并监控完全限定的域名。
您可以 AWS Network Firewall 通过访问 Amazon VPC 控制台
AWS Resource Access Manager
AWS Resource Access Manager
许多组织使用多个账户来建立管理或账单隔离,并限制错误的影响。使用 AWS RAM,您无需在多个 AWS 账户中创建重复的资源。这减少了管理您拥有的每个账户中的资源的运营开销。相反,在您的多账户环境中,您只需创建一次资源,即可通过创建资源共享 AWS RAM 来跨账户共享该资源。创建资源共享时,您可以选择要共享的资源,为每种资源类型选择 AWS RAM 托管权限,并指定您想让谁访问这些资源。 AWS RAM 无需支付额外费用即可使用。
AWS Secrets Manager
AWS Secrets Manager
AWS Security Hub
AWS Security Hub
Security Hub 使您能够通过所有 AWS 账户的综合安全评分来了解自己的整体安全状况,并通过AWS 基础安全最佳实践 (FSBP) 标准和其他合规框架自动评估 AWS 账户资源的安全。它还通过安全调查格式 (ASFF) 将来自数十种 AWS 安全服务和 APN 产品的所有AWS 安全发现汇总到一个位置和格式中,并通过自动响应和补救支持缩短平均修复时间 (MTTR)。Security Hub out-of-the-box 集成了票务、聊天、安全信息和事件管理 (SIEM)、安全编排自动化和响应 (SOAR)、威胁调查、治理风险与合规 (GRC) 以及事件管理工具,可为您的用户提供完整的安全操作工作流程。
开始使用 Security Hub 只需点击几下, AWS Management Console 即可开始使用我们的 30 天免费试用版汇总发现结果并进行安全检查。您可以将 Security Hub 与集成, AWS Organizations 以便在组织中的所有账户中自动启用该服务。
AWS Shield
AWS Shield
所有 AWS 客户均可享受 AWS Shield 标准版的自动保护,无需支付额外费用。 AWS Shield Standard 抵御针对您的网站或应用程序的最常见、最常见的网络和传输层 DDoS 攻击。当您 AWS Shield Standard
与 Amazon CloudFront 和 Amaz
要获得更高级别的保护,抵御针对在亚马逊弹性计算云 (Amazon EC2)、Elastic Load Balancing (ELB) CloudFront、亚马逊和亚马逊 Route 53 资源上运行的应用程序的攻击,你可以订阅。 AWS Shield Advanced除了标准版附带的网络和传输层保护外, AWS Shield Advanced 还提供了针对大型复杂的 DDoS 攻击的额外检测和缓解措施、近乎实时的攻击可见性以及与 AWS WAF Web 应用程序防火墙的集成。 AWS Shield Advanced 还允许您全天候访问 AWS DDoS 响应小组 (DRT),并保护您的亚马逊弹性计算云 (Amazon EC2)、Elastic Load Balancing (ELB)、亚马逊和亚马逊 Route 53 费用免受与 DDoS 相关的峰值。 CloudFront
AWS Shield 高级版可在全球所有亚马逊 CloudFront 和亚马逊 Route 53 边缘站点上使用。通过在应用程序前部署 Amazon CloudFront ,您可以保护在世界任何地方托管的 Web 应用程序。您的源服务器可以是亚马逊 S3、亚马逊弹性计算云 (Amazon EC2)、Elastic Load Balancing (ELB),也可以是外部的自定义服务器。 AWS您还可以直接在 Elastic IP 或 Elastic Load Balancing (ELB) 上启用 AWS Shield 高级 AWS 区域:北弗吉尼亚州、俄亥俄州、俄勒冈州、北加州、蒙特利尔、圣保罗、爱尔兰、法兰克福、伦敦、巴黎、斯德哥尔摩、新加坡、东京、悉尼、首尔、孟买、米兰和开普敦。
AWS IAM Identity Center
AWS IAM Identity Center
AWS WAF
AWS WAF
AWS WAF 验证码
AWS WAF Captcha