保護資料的安全控制建議 - AWS 方案指引
在工作負載層級分類資料為每個資料分類層級建立控制項加密靜態資料加密傳輸中的資料對 Amazon EBS 快照的公開存取公開存取 Amazon RDS 快照公開存取 Amazon RDS、Amazon Redshift 和資源 AWS DMS 公開存取 S3 儲存貯體需要 MFA 才能刪除 S3 儲存貯體資料VPCs 中的 OpenSearch Service 網域KMS 金鑰刪除提醒公開存取 KMS 金鑰接聽程式使用安全通訊協定

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

保護資料的安全控制建議

AWS Well-Architected Framework 將保護資料的最佳實務分為三個類別：資料分類、保護靜態資料，以及保護傳輸中的資料。本節中的安全控制可協助您實作資料保護的最佳實務。在您架構雲端中的任何工作負載之前，應該具備這些基礎最佳實務。它們可防止資料處理不當，並可協助您履行組織、法規和合規義務。使用本節中的安全控制來實作資料保護的最佳實務。

在工作負載層級識別和分類資料

資料分類是根據重要性和敏感性來識別和分類網路資料的程序。它是所有網路安全風險管理策略的關鍵組成部分，因為它可以協助您確定適當的資料保護和保留控制。資料分類通常會降低資料重複的頻率。這可以降低儲存和備份成本，並加速搜尋。

我們建議您了解工作負載正在處理的資料類型和分類、相關聯的業務流程、資料的存放位置，以及誰擁有資料。資料分類可協助工作負載擁有者識別存放敏感資料的位置，並判斷應如何存取和共用該資料。標籤是鍵/值對，可做為中繼資料來組織 AWS 資源。標籤可協助管理、識別、組織、搜尋和篩選資源。

如需詳細資訊，請參閱下列資源：

為每個資料分類層級建立控制項

定義每個分類層級的資料保護控制。例如，使用建議的控制項來保護分類為公有的資料，並使用其他控制項來保護敏感資料。使用機制和工具可減少或消除直接存取或手動處理資料的需求。自動化資料識別和分類可降低分類錯誤、處理不當、修改或人為錯誤的風險。

例如，請考慮使用 Amazon Macie 掃描 Amazon Simple Storage Service (Amazon S3) 儲存貯體的敏感資料，例如個人身分識別資訊 (PII)。此外，您也可以在 Amazon Virtual Private Cloud (Amazon VPC) 中使用 VPC 流程日誌，自動偵測意外的資料存取。

如需詳細資訊，請參閱下列資源：

加密靜態資料

靜態資料是網路中靜態的資料，例如儲存中的資料。實作靜態資料的加密和適當的存取控制，有助於降低未經授權的存取風險。加密是一種運算程序，可將人類可讀取的純文字資料轉換為加密文字。您需要加密金鑰，才能將內容解密回純文字，以便使用。在 中 AWS 雲端，您可以使用 AWS Key Management Service (AWS KMS) 來建立和控制密碼編譯金鑰，以協助保護您的資料。

如 中所述為每個資料分類層級建立控制項，我們建議建立政策來指定需要加密的資料類型。包含如何判斷哪些資料應該加密，以及哪些資料應該使用另一種技術來保護的條件，例如字符化或雜湊。

如需詳細資訊，請參閱下列資源：

加密傳輸中的資料

傳輸中的資料是在您的網路中主動移動的資料，例如在網路資源之間移動。使用安全的 TLS 通訊協定和密碼套件加密傳輸中的所有資料。資源與網際網路之間的網路流量必須加密，以協助防止未經授權的資料存取。如果可能，請使用 TLS 來加密內部 AWS 環境中的網路流量。

如需詳細資訊，請參閱下列資源：

封鎖對 Amazon EBS 快照的公開存取

Amazon Elastic Block Store (Amazon EBS) 提供區塊層級儲存磁碟區，可與 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體搭配使用。您可取得某個時間點的快照，藉此將 Amazon EBS 磁碟區上的資料備份至 Amazon S3。您可以公開與所有其他 共用快照 AWS 帳戶，也可以私下與您 AWS 帳戶 指定的個人共用快照。

建議您不要公開共用 Amazon EBS 快照。這可能會無意中公開敏感資料。當您共用快照時，您會讓其他人存取快照中的資料。僅與您對所有資料信任的人員共用快照。

如需詳細資訊，請參閱下列資源：

封鎖對 Amazon RDS 快照的公開存取

Amazon Relational Database Service (Amazon RDS) 可協助您在 中設定、操作和擴展關聯式資料庫 AWS 雲端。Amazon RDS 會在資料庫執行個體的備份時段期間建立並儲存資料庫 （資料庫） 執行個體或多可用區域資料庫叢集的自動備份。Amazon RDS 會建立資料庫執行個體的儲存體磁碟區快照，因此會備份整個資料庫執行個體，而不只是個別的資料庫。您可以共用手動快照，以複製快照或從中還原資料庫執行個體。

如果您將快照共用為公有，請確定快照中的任何資料都不是私有或敏感的。公開共用快照時，會授予存取資料的所有 AWS 帳戶 許可。這可能會導致 Amazon RDS 執行個體中的資料意外暴露。

如需詳細資訊，請參閱下列資源：

封鎖對 Amazon RDS、Amazon Redshift 和資源的公開存取 AWS DMS

您可以將 Amazon RDS 資料庫執行個體、Amazon Redshift 叢集和 AWS Database Migration Service (AWS DMS) 複寫執行個體設定為可公開存取。如果publiclyAccessible欄位值為 true，則可公開存取這些資源。允許公開存取可能會導致不必要的流量、暴露或資料外洩。建議您不要允許公開存取這些資源。

建議您啟用 AWS Config 規則或 Security Hub 控制項，以偵測 Amazon RDS 資料庫執行個體、 AWS DMS 複寫執行個體或 Amazon Redshift 叢集是否允許公開存取。

注意

佈建執行個體之後，無法修改 AWS DMS 複寫執行個體的公有存取設定。若要變更公有存取設定，請刪除目前的執行個體，然後重新建立它。重新建立時，請勿選取公開存取選項。

如需詳細資訊，請參閱下列資源：

封鎖對 Amazon S3 儲存貯體的公開存取

這是 Amazon S3 安全最佳實務，可確保您的儲存貯體無法公開存取。除非您明確要求網際網路上的任何人能夠讀取或寫入您的儲存貯體，否則請確定您的儲存貯體不是公有的。這有助於保護資料的完整性和安全性。您可以使用 AWS Config 規則和 Security Hub 控制項來確認您的 Amazon S3 儲存貯體符合此最佳實務。

如需詳細資訊，請參閱下列資源：

要求 MFA 刪除關鍵 Amazon S3 儲存貯體中的資料

在 Amazon S3 儲存貯體中使用 S3 版本控制時，您可以選擇將儲存貯體設定為啟用 MFA (多重因素認證) Delete，來增加額外的安全性。當您這樣做時，儲存貯體擁有者必須在任一要求中包含兩種身分驗證形式，才能刪除版本或變更儲存貯體的版本控制狀態。建議您為包含對組織至關重要之資料的儲存貯體啟用此功能。這可以防止意外刪除儲存貯體和資料。

如需詳細資訊，請參閱下列資源：

在 VPC 中設定 Amazon OpenSearch Service 網域

Amazon OpenSearch Service 是一項受管服務，可協助您在 中部署、操作和擴展OpenSearch叢集 AWS 雲端。Amazon OpenSearch Service 支援 OpenSearch和舊版Elasticsearch開放原始碼軟體 (OSS)。在 VPC 內部署的 Amazon OpenSearch Service 網域可以透過私有 AWS 網路與 VPC 資源通訊，而不需要周遊公有網際網路。此組態透過限制對傳輸中資料的存取來改善您的安全狀態。建議您不要將 Amazon OpenSearch Service 網域連接至公有子網路，並根據最佳實務設定 VPC。

如需詳細資訊，請參閱下列資源：

設定 AWS KMS key 要刪除的提醒

AWS Key Management Service (AWS KMS) 金鑰在刪除後無法復原。如果刪除 KMS 金鑰，在該金鑰下仍然加密的資料將永久無法復原。如果您需要保留對資料的存取權，在刪除金鑰之前，您必須解密資料或使用新的 KMS 金鑰重新加密資料。只有當您確定不再需要使用 KMS 金鑰時，才應刪除 KMS 金鑰。

我們建議您設定 Amazon CloudWatch 警示，在有人啟動刪除 KMS 金鑰時通知您。由於刪除 KMS 金鑰具有破壞性且潛在危險，因此 AWS KMS 需要您設定等待期間，並在 7-30 天內刪除排程。這可讓您檢閱排定的刪除，並視需要將其取消。

如需詳細資訊，請參閱下列資源：

封鎖對 的公開存取 AWS KMS keys

金鑰政策是控制 存取的主要方式 AWS KMS keys。每個 KMS 金鑰只有一個金鑰政策。允許匿名存取 KMS 金鑰可能會導致敏感資料洩露。我們建議您識別任何可公開存取的 KMS 金鑰並更新其存取政策，以防止對這些資源提出未簽署的請求。

如需詳細資訊，請參閱下列資源：

設定負載平衡器接聽程式以使用安全通訊協定

Elastic Load Balancing 會自動將傳入的應用程式流量分散到多個目標。您可以指定一或多個接聽程式，以將負載平衡器設定為接受傳入流量。接聽程式是檢查連線請求的程序，必須使用您已設定的通訊協定與連接埠。每種類型的負載平衡器都支援不同的通訊協定和連接埠：

  • Application Load Balancer 在應用程式層進行路由決策，並使用 HTTP 或 HTTPS 通訊協定。

  • Network Load Balancer 在傳輸層做出路由決策，並使用 TCP、TLS、UDP 或 TCP_UDP 通訊協定。

  • Classic Load Balancer 會在傳輸層 （使用 TCP 或 SSL 通訊協定） 或應用程式層 （使用 HTTP 或 HTTPS 通訊協定） 進行路由決策。

我們建議您一律使用 HTTPS 或 TLS 通訊協定。這些通訊協定可確保負載平衡器負責加密和解密用戶端與目標之間的流量。

如需詳細資訊，請參閱下列資源：