本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
安全性、身分識別與法規遵循
主題
- Amazon Cognito
- Amazon Detective
- Amazon GuardDuty
- Amazon Inspector
- Amazon Macie
- Amazon Security Lake
- Amazon Verified Permissions
- AWS Artifact
- AWS Audit Manager
- AWS Certificate Manager
- AWS CloudHSM
- AWS Directory Service
- AWS Firewall Manager
- AWS Identity and Access Management
- AWS Key Management Service
- AWS Network Firewall
- AWS Resource Access Manager
- AWS Secrets Manager
- AWS Security Hub
- AWS Shield
- AWS IAM Identity Center
- AWS WAF
- AWS WAF 驗證碼
Amazon Cognito
Amazon Cognito
此外,Amazon Cognito 可讓您將資料本機儲存在使用者裝置上,讓您的應用程式即使裝置離線也能正常運作。然後,您可以跨用戶的設備同步數據,以便無論他們使用哪種設備,他們的應用程序體驗都保持一致。
透過 Amazon Cognito,您能夠專心建立絕佳的應用程式體驗,不用擔心如何建置、保護和擴展解決方案,即可有效處理使用者管理、身分驗證與跨裝置同步作業。
Amazon Detective
Amazon Detective
AWS Amazon GuardDuty、Amazon Macie 以及合作夥伴安全產品等安全服務可用於識別潛在的安全問題或發現結果。 AWS Security Hub這些服務對於在 AWS 部署中可能存在未經授權存取或可疑行為的時間和地點提醒您非常有幫助。不過,有時候會有安全性發現項目,您希望對導致發現項目的事件執行更深入的調查,以修正根本原因。對於安全分析師而言,確定安全性發現的根本原因可能是一個複雜的過程,這些程序通常涉及收集和合併來自許多資料來源的記錄,使用擷取、轉換和載入 (ETL) 工具,以及自訂指令碼來組織資料。
Amazon Detective ess 可讓您的安全團隊輕鬆調查並快速找出發現的根本原因,從而簡化此程序。Detective 可以分析來自多個資料來源的數兆個事件, AWS CloudTrail例如 Amazon Virtual Private Cloud (VPC) 流程日誌和 Amazon。 GuardDutyDetective 使用這些事件來自動建立一個統一的互動式檢視,檢視您的資源、使用者,以及它們之間隨著時間的推移互動。透過此統一檢視,您可以在一個位置視覺化所有詳細資料和內容,以識別發現項目的基本原因、深入研究相關的歷史活動,以及快速判斷根本原因。
您可以開始使用 Amazon Detective 在短短的點擊幾下 AWS Management Console。不需要部署任何軟體,也不需要啟用和維護資料來源。您可以免費試用 Detective,免費試用 30 天,新帳戶可免費試用。
Amazon GuardDuty
Amazon GuardDuty
只要在整個組織中按幾下滑鼠 AWS Management Console ,即可輕鬆管理整個組織 AWS Organizations,Amazon 就 GuardDuty 能立即開始分析您 AWS 帳戶中數十億個事件,找出未經授權使用的跡象。 GuardDuty 透過整合式威脅情報摘要和機器學習異常偵測來識別可疑的攻擊者,以偵測帳戶和工作負載活動中的異常情況。當偵測到潛在的未經授權使用時,服務會向主 GuardDuty 控台、Amazon E CloudWatch vents 和 AWS Security Hub. 這使得發現結果可行,並且易於集成到現有的事件管理和工作流程系統中。透過直接從 GuardDuty 主控台使用 Amazon Detective ess,即可輕鬆完成進一步調查以確定發現項目的根本原因。
Amazon 具 GuardDuty 有成本效益且易於操作。它不需要您部署和維護軟體或安全性基礎架構,這表示可以快速啟用,而不會對現有應用程式和容器工作負載造成負面影響。無需預付費用 GuardDuty,也不需要部署軟體,也不需要啟用威脅情報饋送。此外, GuardDuty透過套用智慧篩選器並僅分析與威脅偵測相關的一部分日誌來優化成本,而新的 Amazon GuardDuty 帳戶則可免費使用 30 天。
Amazon Inspector
Amazon Inspector
Amazon Inspector 有過亞 Amazon Inspector 經典的許多改進。例如,新的 Amazon Inspector 透過將常見弱點和暴露 (CVE) 資訊與網路存取和可利用性等因素相關聯,計算每個發現項目的高度情境化風險評分。此分數用於排定最嚴重弱點的優先順序,以改善補救回應效率。此外,Amazon Inspector 現在使用廣泛部署的 AWS Systems Manager 代理程式 (SSM 代理程式),無需部署和維護獨立代理程式來執行 Amazon EC2 執行個體評估。對於容器工作負載,Amazon Inspector 現在已與 Amazon Elastic Container Registry (Amazon ECR) 整合,以支援容器映像的智慧型、具成本效益且持續的弱點評估。所有發現項目都會彙總在 Amazon Inspector 主控台中,路由至 Amazon 並透過 Amazon 推送 AWS Security Hub, EventBridge 以自動化工作流程,例如票務。
Amazon Inspector 的所有新帳戶都有資格獲得 15 天的免費試用期,以評估服務並估算其成本。在試用期間,所有推送到 Amazon ECR 的合格 Amazon EC2 執行個體和容器映像都會持續掃描,而且不收取任何費用。
Amazon Macie
Amazon Macie
在多帳戶設定中,單一 Macie 管理員帳戶可以管理所有成員帳戶,包括建立和管理跨帳戶的敏感資料探索工作。 AWS Organizations安全性和敏感資料探索發現項目會彙總在 Macie 管理員帳戶中,並傳送至 Amazon CloudWatch 事件和 AWS Security Hub。現在,使用一個帳戶,您可以與事件管理,工作流程和票務系統集成,或者使用 Macie 發現結果與 AWS Step Functions 自動修復操作。您可以免費使用新帳戶提供給 S3 儲存貯體庫存和儲存貯體層級評估的 30 天試用版,快速開始使用 Macie。儲存貯體評估的 30 天試用版不包含敏感資料探索。
Amazon Security Lake
Amazon Security Lake 將來自 AWS 環境、SaaS 供應商、內部部署和雲端來源的安全性資料集中到儲存在您的專用資料湖中。 AWS 帳戶 Security Lake 可自動收集和管理各個帳戶的安全性資料, AWS 區域 讓您可以使用偏好的分析工具,同時保有安全性資料的控制權和擁有權。透過 Security Lake,您還可以改善工作負載、應用程式和資料的保護。
Security Lake 會自動從整合式服務和協力廠商 AWS 服務收集與安全性相關的記錄檔和事件資料。它還可以通過可自定義的保留設置幫助您管理數據的生命週期。資料湖由 Amazon S3 儲存貯體提供支援,您可以保留資料的擁有權。安全湖將擷取的資料轉換為 Apache Parquet 格式,以及稱為開放網路安全結構描述架構 (OCSF) 的標準開放原始碼結構描述。透過 OCSF 支援,Security Lake 可將來自各種企業安全性資料來源的安全性資料標準化 AWS 並結合。
其他 AWS 服務和第三方服務可以訂閱儲存在 Security Lake 中的資料,以進行事件回應和安全性資料分析。
Amazon Verified Permissions
Amazon 驗證許
已驗證的權限使用 Cedar
AWS Artifact
AWS Artifact
AWS Audit Manager
AWS Audit Manager
AWS Audit Manager 預先建置的架構可將您的 AWS 資源對應至業界標準或法規的要求,例如 CIS AWS 基準測試、一般資料保護規範 (GDPR) 和支付卡產業資料安全標準 (PCI DSS),協助將雲端服務中的證據轉換為易於稽核的報告。您也可以針對您獨特的業務需求,完全自訂架構及其控制項。Audit Manager 會根據您選取的架構啟動評估,持續從您的 AWS 帳號和資源收集並組織相關證據,例如資源組態快照、使用者活動和符合性檢查結果。
您可以在中快速開始使用 AWS Management Console。只要選取預先建置的架構即可啟動評估,並開始自動收集和整理證據。
AWS Certificate Manager
AWS Certificate Manager
您可以使用 AWS Certificate Manager快速申請憑證、將憑證部署在 ACM 整合的 AWS 資源上,例如 Elastic Load Balancing、Amazon CloudFront 分發和 API Gateway 上的 API,以及 AWS Certificate Manager 處理憑證續約。它也可讓您為內部資源建立私有憑證,並集中管理憑證生命週期。透過佈建與 ACM 整合服務搭配使 AWS Certificate Manager 用的公用和私有憑證是免費的。您只需為執行應用程式所建立的 AWS 資源付費。
使用時 AWS Private Certificate Authority
AWS CloudHSM
這AWS CloudHSM
AWS CloudHSM 符合標準,可讓您將所有金鑰匯出至大多數其他市售 HSM (視您的組態而定)。這是一項全受管服務,可為您自動執行耗時的管理工作,例如硬體佈建、軟體修補、高可用性和備份。 AWS CloudHSM 還可讓您透過隨需新增和移除 HSM 容量來快速擴展,而無需前期成本。
AWS Directory Service
AWS Directory Service
AWS Firewall Manager
AWS Firewall Manager
AWS Identity and Access Management
AWS Identity and Access Management
-
您可以在 AWS IAM Identity Center
(IAM 身分中心) 中管理員工使用者和工作負載的 AWS 許可。IAM 身分中心可讓您管理多個 AWS 帳戶的使用者存取權限。只需點擊幾下,您就可以啟用高可用性服務,輕鬆管理多帳戶訪問以及AWS Organizations 集中管理所有帳戶的權限。身分識別中心包含許多商業應用程式的內建 SAML 整合,例如 Salesforce、盒子和 Microsoft Office 365。此外,您可以建立安全性宣告標記語言 (SAML) 2.0 整合,並將單一登入存取權延伸至任何已啟用 SAML 的應用程式。您的使用者只要使用他們設定的認證登入使用者入口網站,或使用現有的公司認證,即可從單一位置存取所有指派的帳戶和應用程式。 -
管理單一帳戶 IAM 許
可:您可以使用許可指定對 AWS 資源的存取權。依預設,您的 IAM 實體 (使用者、群組和角色) 從沒有權限開始。您可以透過附加 IAM 政策 (指定存取類型、可執行的動作以及可執行動作的資源) 來授與這些身分識別許可。您也可以指定必須設定為允許或拒絕存取的條件。 -
管理單一帳戶 IAM 角色
:IAM 角色可讓您將存取權委派給通常無法存取組織 AWS 資源的使用者或服務。IAM 使用者或 AWS 服務可以擔任角色來取得用於進行 AWS API 呼叫的臨時安全登入資料。您不必共用長期認證或為每個身分定義權限。
AWS Key Management Service
AWS Key Management Service
AWS Network Firewall
AWS Network Firewall
AWS Network Firewall 包含的功能可提供防範常見網路威脅的功能。可設定 AWS Network Firewall 狀態防火牆可以整合來自流量流程的內容 (例如追蹤連線和通訊協定識別),以強制執行諸如防止 VPC 使用未經授權的通訊協定存取網域等原則。入 AWS Network Firewall 侵預防系統 (IPS) 提供主動式流量檢測,讓您可以使用特徵碼型偵測來識別和封鎖弱點攻擊。 AWS Network Firewall 還提供 Web 過濾功能,可以阻止流量傳輸到已知錯誤 URL 並監控完整網域名稱。
您可以 AWS Network Firewall 透過造訪 Amazon VPC 主控台
AWS Resource Access Manager
AWS Resource Access Manager
許多組織使用多個帳戶來建立管理或帳單隔離,並限制錯誤的影響。使用時 AWS RAM,您不需要在多個 AWS 帳戶中建立重複的資源。這樣可以減少管理您擁有的每個帳戶中資源的營運額外負荷。相反地,在多帳號環境中,您可以建立一次資源,並透過建立資源共用 AWS RAM 來跨帳號共用該資源。建立資源共用時,您可以選取要共用的資源,針對每個資源類型選擇 AWS RAM 受管理的權限,然後指定要存取資源的人員。 AWS RAM 為您提供,不收取額外費用。
AWS Secrets Manager
AWS Secrets Manager
AWS Security Hub
AWS Security Hub
Security Hub 可讓您透過所有 AWS 帳戶的整合安全評分來瞭解您的整體安全性狀態,並透過AWS 基礎安全性最佳做法 (FSBP) 標準和其他合規性架構自動評估 AWS 帳戶資源的安全性。它還可以透過安全性尋找格式 (ASFF),將數十種 AWS 安全服務和 APN 產品的所有AWS 安全發現彙總到單一位置和格式,並透過自動化回應和修復支援縮短您的平均修復時間 (MTTR)。Security Hub out-of-the-box 整合了售票、聊天、安全資訊和事件管理 (SIEM)、安全協調自動化與回應 (SOAR)、威脅調查、治理風險與合規 (GRC) 和事件管理工具,為您的使用者提供完整的安全作業工作流程。
開始使用 Security Hub 只需按幾下,即可開始彙總發現項目並使用我們的 30 天免費試用版進行安全性檢查。 AWS Management Console 您可以將 Security Hub 與整合,以 AWS Organizations 便在組織中的所有帳戶中自動啟用服務。
AWS Shield
AWS Shield
所有 AWS 客戶都可以從 AWS Shield 標準版的自動保護中受益,無需額外付費。 AWS Shield Standard 抵禦針對您網站或應用程式的常見、經常發生的網路和傳輸層 DDoS 攻擊。當您 AWS Shield Standard
搭配 Amazon CloudFront 和 Amazon
如需針對在 Amazon 彈性運算雲端 (Amazon EC2)、Elastic Load Balancing (ELB)、亞馬遜和 Amazon Route 53 資源上執行之應用程式的攻擊提供更高層級的保護,您可以 AWS Shield Advanced訂閱。 CloudFront除了標準版隨附的網路和傳輸層保護外, AWS Shield Advanced 還提供額外的偵測和緩解功能,以抵禦大型複雜的 DDoS 攻擊、近乎即時的攻擊能見度,以及與 AWS WAF Web 應用程式防火牆整合。 AWS Shield Advanced 此外,您還可以全天候存取 AWS DDoS 回應團隊 (DRT),並在您的 Amazon 彈性運算雲端 (Amazon EC2)、Elastic Load Balancing (ELB)、Amazon 和亞馬遜路線 53 收費中針對 DDoS 相關尖峰提供保護。 CloudFront
AWS Shield 進階版可在全球所有 Amazon CloudFront 和 Amazon Route 53 節點使用。您可以在應用程式前部署 Amazon CloudFront ,保護在世界任何地方託管的 Web 應用程式。您的原始伺服器可以是 Amazon S3、亞馬遜彈性運算雲端 (Amazon EC2)、Elastic Load Balancing (ELB) 或以外的 AWS自訂伺服器。您也可以直接在下列的彈性 IP 或 Elastic Load Balancing (ELB) 上啟用 AWS Shield 進階 AWS 區域:維吉尼亞北部、俄亥俄州、俄勒岡、北加州、蒙特利爾、聖保羅、愛爾蘭、法蘭克福、倫敦、巴黎、斯德哥爾摩、新加坡、東京、雪梨、首爾、孟買、米蘭和開普敦。
AWS IAM Identity Center
AWS IAM Identity Center
AWS WAF
AWS WAF
AWS WAF 驗證碼
AWS WAF 驗證碼