最小化风险：通过深度防御构建全面的AWS控制框架

安全和治理团队在所有环境中都面临一个共同挑战：将抽象的安全和治理需求转化为具体的集成控制框架。AWS服务提供了组织可用于在其架构的多个层实施控制的能力——从基础设施配置到运行时监控。

客户实施控制面临的挑战

组织在尝试在AWS中实施全面控制框架时面临若干重大挑战：

资源限制和专业知识差距

安全团队经常陷入有限的资源和云中不断扩展的职责之间。在预算和人员受限的情况下，团队通常倾向于通过检测性控制快速获得成果，这些控制在最初看起来实施起来很直接。

分析瘫痪

决定优先使用哪些工具可能是一个挑战；AWS安全服务和第三方工具提供的广泛选项和广泛功能有时会让人感到不知所措。

对深度防御的误解

深度防御作为一个概念是好的，但可能被误解且难以实现，导致安全架构中存在漏洞。

成熟度旅程挑战

安全成熟度的道路存在许多障碍。许多组织停留在早期阶段，实施了检测性控制但从未进展到预防措施。

理解控制类型及其相互作用

AWS定义了不同类型的控制来构建全面的安全框架。

预防性控制

预防性控制通过定义指导安全实施的政策、标准和要求来建立安全环境的基础。

组织级别：阻止公共S3存储桶创建的SCP 资源级别：RCP强制执行网络访问控制

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

// 阻止SSE-C的SCP，除非明确允许
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenySSECEncryption",
      "Effect": "Deny",
      "Action": "s3:PutObject",
      "Resource": "*",
      "Condition": {
        "Null": {
          "s3:x-amz-server-side-encryption-customer-algorithm": "false"
        }
      }
    }
  ]
}

主动性控制

主动性控制充当早期预警系统，在潜在安全问题在环境中显现之前识别并解决它们。

• 账户级别的Amazon S3阻止公共访问设置
• 持续集成和交付（CI/CD）管道中的策略即代码检查
• 用于预部署验证和策略执行的AWS CloudFormation钩子
• 处于主动模式的AWS Config规则

检测性控制

检测性控制通过监控环境中潜在的安全违规或未经授权的更改，为安全态势提供持续可见性。

• 监控公共存储桶的AWS Config规则
• 标记不合规资源的Security Hub发现
• AWS IAM Access Analyzer评估

响应性控制

响应性控制通过提供检测到安全问题后的自动和手动机制来完成安全生命周期。

• 使用AWS Config规则、AWS Lambda函数或自动安全响应进行自动修复
• 带有预构建运行手册的AWS Systems Manager自动化
• 与IT服务管理（ITSM）系统集成以进行手动审查和纠正

实施生命周期：理想与现实

在实施安全控制时，您可以遵循两条路径之一：从全面的方法重新开始，或从现有的以检测为重点的实施中演进。

重新开始：理想方法

当从零开始时，您有一个独特的机会来按照理想的方法构建安全和治理。

步骤包括：

• 根据需求和风险状况合理化控制
• 设计全面的控制策略
• 分层实施控制
• 监控和评估有效性

从检测性控制演进：常见路径

大多数组织发现自己从检测性控制开始，并在从那里成熟方面面临挑战：

初始状态：

• 通过Security Hub和AWS Config的基线检测性控制
• 手动修复过程
• 对安全态势的可见性有限

成熟步骤：

• 分析发现以识别模式
• 为常见问题实施自动修复
• 根据重复事件添加预防性和主动性控制
• 定期完善和更新策略

实际实施：从理论到实践

让我们研究如何使用一个常见的安全要求来实施全面的控制框架：防止通过公共S3存储桶暴露敏感数据。

构建每一层的控制

有效的安全和合规策略包括所有四种类型的安全控制。

开始定义安全目标：

• 确定数据保护目标
• 确定可接受的风险水平
• 与合规要求对齐

部署预防性防护：

• 组织级别：在组织级别阻止公共存储桶创建的SCP
• 资源级别：限制存储桶策略修改的IAM策略

部署主动性防护：

• 基础设施即代码：在CI/CD管道中实施策略即代码检查
• AWS Control Tower主动性控制：启用相关的可选AWS Control Tower防护

添加检测性控制：

• 用于全面API活动记录和审计的AWS CloudTrail
• 用于存储桶配置的AWS Config规则
• 用于持续评估的Security Hub发现

实施响应性控制：

• Security Hub和Systems Manager集成以自动化事件响应工作流
• 特定用例的自定义Lambda函数
• 需要时与ITSM集成进行人工审查

扩展和管理考虑因素

随着安全和治理计划的成熟，在成长的组织中扩展这些控制需要深思熟虑的管理和自动化。

有效使用AWS服务：

• 考虑部署AWS Control Tower以实现一致的账户设置
• AWS Organizations可以辅助分层策略管理
• 通过策略集成实施资源治理

集中记录和监控：

• 实施清晰的异常流程
• 记录和跟踪批准的异常
• 建立异常的定期审查

优化成本：

• 在适当的地方使用定期而不是连续检查
• 基于资源关键性实施有针对性的监控
• 平衡自动化成本与手动工作

结论：推进控制成熟度

实施全面的控制框架是一个旅程，而不是目的地。从组织当前的位置开始，无论是基本的检测性控制还是全新的实施，都要专注于逐步改进，而不是试图一次实施所有内容。

成功来自于仔细记录有关控制实施的决策，定期审查它们，并使用自动化来减少运营开销，同时提高一致性。可以通过具体指标来衡量进展：减少的发现、更快的修复时间和增加的自动化。

请记住，目标不仅仅是更好的安全性——它是将安全和治理从反应性操作转变为提供真正业务价值的战略推动者。