使用託管安全服務監控數據 AWS 安全

多種受管 AWS 安全服務可協助您識別、評估和監控 Amazon S3 資料的安全與合規風險。它們還可以協助您保護資料免於這些風險。這些服務包括自動偵測、監控和保護功能，這些功能旨在從 Amazon S3 資源擴展 AWS 帳戶 到適用於數千個組織的資源 AWS 帳戶。

AWS 偵測與回應服務可協助您識別潛在的安全性錯誤設定、威脅或未預期的行為，以便您快速回應環境中潛在未經授權或惡意的活動。 AWS 資料保護服務可協助您監控並保護您的資料、帳戶和工作負載，防止未經授權的存取。它們還可以協助您發現 Amazon S3 資料資產中的敏感資料，例如個人識別資訊 (PII)。

為了協助您識別並評估資料安全和合規風險，受管 AWS 安全服務會產生調查結果，以將 Amazon S3 資料的潛在安全事件或問題通知您。這些調查結果會提供相關詳細資訊，您可以用來根據事件回應工作流程和政策調查、評估這些風險並採取行動。您可以使用每個服務直接存取調查結果資料。您也可以將資料傳送至其他應用程式、服務和系統，例如安全性事件和事件管理系統 (SIEM)。

若要監控 Amazon S3 資料的安全性，請考慮使用這些受管 AWS 安全服務。

Amazon GuardDuty

Amazon GuardDuty 是一種威脅偵測服務，可持續監控您 AWS 帳戶 和工作負載中是否有惡意活動，並提供詳細的安全發現結果以提供可見性和修復。

使用中的 S3 保護功能 GuardDuty，您可以設定 GuardDuty 為分析 Amazon S3 資源的 AWS CloudTrail 管理和資料事件。 GuardDuty 然後監視這些事件是否存在惡意和可疑活動。為了通知分析並識別潛在的安全風險，請 GuardDuty 使用威脅情報饋送和機器學習。

GuardDuty 可以為您的 Amazon S3 資源監控不同類型的活動。例如，Amazon S3 的 CloudTrail 管理事件包括儲存貯體層級的操作，例如ListBuckets、DeleteBucket和。PutBucketReplication CloudTrail Amazon S3 的資料事件包括物件層級操作，例如GetObjectListObjects、和PutObject。如果 GuardDuty 偵測到異常或潛在惡意活動，它會產生一個發現通知您。

有關更多信息，請參閱 Amazon GuardDuty 用戶指南 GuardDuty中的 Amazon S3 保護。

Amazon Detective

Amazon Detective 可簡化調查程序，並協助您進行更快、更有效的安全調查。Detective 提供預先建置的資料彙總、摘要和內容，可協助您分析並評估潛在安全問題的本質和範圍。

Detective 會自動擷取基於時間的事件，例如來自 AWS 資源的來API電 AWS CloudTrail 和 Amazon VPC 流量日誌。它還會擷取 Amazon GuardDuty 產生的發現。Detective 接著會使用機器學習、統計分析和圖論來產生視覺化，協助您更快地進行有效的安全調查。

這些視覺效果提供了資源行為的統一互動式檢視，以及它們之間一段時間後的互動。您可以瀏覽此行為圖表，以檢查潛在的惡意動作，例如失敗的登入嘗試或可疑API呼叫。您也可以查看這些動作如何影響資源，例如 S3 儲存貯體和物件。

如需詳細資訊，請參閱 Amazon Detective 管理指南。

IAM Access Analyzer

AWS Identity and Access Management Access Analyzer （IAM訪問分析器）可以幫助您識別與外部實體共享的資源。您也可以使用 IAM Access Analyzer 根據原則文法和最佳做法來驗證IAM原IAM則，並根據 AWS CloudTrail 記錄中的存取活動產生原則。

IAMAccess Analyzer 使用基於邏輯的推理來分析 AWS 環境中的資源策略，例如存儲桶策略。IAM使用適用於 S3 的 Access Analyzer，當 S3 儲存貯體設定為允許存取網際網路上的任何人 (包括組織外部帳戶) 時 AWS 帳戶，系統就會收到警示。例如，S3 IAM Access Analyzer 可以報告儲存貯體具有透過儲存貯體存取控制清單 (ACL)、儲存貯體政策、多區域存取點政策或存取點政策提供的讀取或寫入存取權。針對每個公開或共用儲存貯體，您會收到調查結果，指出公開或共用存取的來源和層級。使用這些調查結果，您可以採取立即且精確的更正動作，將儲存貯體存取還原成您想要的內容。

如需詳細資訊，請參閱 使用 S3 的存取分析器檢閱儲IAM存貯體存取。

Amazon Macie

Amazon Macie 是一種資料安全服務，透過使用機器學習和模式比對來探索敏感資料、提供資料安全風險的可見性，以及啟用自動保護以防範這些風險。

使用 Macie，您可以自動探索和報告 S3 儲存貯體中的敏感資料，以更加了解貴組織存放在 Amazon S3 中的資料。若要偵測敏感資料，您可以使用 Macie 提供的內建條件和技術，您定義的自訂條件，或兩者的組合。如果 Macie 在 S3 物件中偵測到敏感資料，Macie 會產生調查結果以通知您。此調查結果提供受影響儲存貯體和物件的相關資訊、Macie 所找到敏感資料的類型和出現次數，以及協助您調查的其他詳細資訊。

Macie 還提供統計資訊和其他資料，讓您洞察 Amazon S3 資料的安全狀態，而且它會針對安全和存取控制自動評估和監控 S3 儲存貯體。如果 Macie 偵測到您資料的安全性或隱私權存在潛在問題，例如變成可公開存取的儲存貯體，Macie 會視需要產生調查結果來檢閱並修補此問題。

如需詳細資訊，請參閱 Amazon Macie 使用者指南。

AWS Security Hub

AWS Security Hub 是一種安全性狀態管理服務，可執行安全性最佳作法檢查、將來自多個來源的警示和發現項目彙總為單一格式，並啟用自動補救。

Security Hub 從整合式安全解決方案收集並提供 AWS Partner Network 安全發現資料 AWS 服務，包括 Amazon Detective GuardDuty、亞馬遜、IAM存取分析器和 Amazon Macie。它還會根據 AWS 最佳實務和支援的業界標準執行連續的自動化安全檢查，產生自己的發現結果。

安全中樞接著會將提供者的調查結果相互關聯和合併，協助您優先處理最重要的調查結果。它也提供自訂動作的支援，您可以使用這些動作，來叫用特定調查結果類別的回應或修補動作。

使用 Security Hub，您可以評估 Amazon S3 資源的安全和合規狀態，並且可以進行更廣泛分析組織在個別 AWS 區域 和多個區域的安全狀態的一部分。這包括分析安全趨勢，以及識別優先順序最高的安全問題。您也可以彙總來自多個 AWS 區域的調查結果，以及監控並處理來自單一區域的彙總調查結果資料。

如需詳細資訊，請參閱《AWS Security Hub 使用者指南》中的 Amazon Simple Storage Service 控制。