# 安全基础知识 **Topics** + [SEC 1  如何安全地操作您的工作负载？](w2aac19b7b5b5.md) # SEC 1  如何安全地操作您的工作负载？ 为了安全地操作您的工作负载，您必须对安全性的各个方面应用总体最佳实践。采用您在组织和工作负载层面的卓越运营中定义的要求和流程，并将它们应用到各个方面。及时了解最新的 AWS、行业建议以及威胁情报信息可帮助您改进您的威胁模型和控制目标。实现安全流程、测试和验证的自动化可扩展您的安全运营。 **Topics** + [SEC01-BP01 使用账户分隔工作负载](sec_securely_operate_multi_accounts.md) + [SEC01-BP02 保护 AWS 账户](sec_securely_operate_aws_account.md) + [SEC01-BP03 识别并验证控制目标](sec_securely_operate_control_objectives.md) + [SEC01-BP04 及时了解最新的安全威胁](sec_securely_operate_updated_threats.md) + [SEC01-BP05 及时了解最新的安全建议](sec_securely_operate_updated_recommendations.md) + [SEC01-BP06 在管道中自动测试和验证安全控制措施](sec_securely_operate_test_validate_pipeline.md) + [SEC01-BP07 使用威胁模型识别风险并确定其优先级](sec_securely_operate_threat_model.md) + [SEC01-BP08 定期评估和实施新的安全服务和功能](sec_securely_operate_implement_services_features.md) # SEC01-BP01 使用账户分隔工作负载 从安全性和基础设施入手，随着工作负载的增长，使您的组织能够设置通用防护。这种方法在工作负载之间提供了边界和控制。强烈建议执行账户级分离，以使生产环境与开发和测试环境分离，或者在需要处理外部合规性要求（例如 PCI-DSS 或 HIPAA）所定义的各级敏感数据的工作负载与无需处理这些数据的工作负载之间提供强大的逻辑边界。 **未建立这种最佳实践的情况下暴露的风险等级：** 高 ## 实施指导 + 使用 AWS Organizations：使用 AWS Organizations 集中实现针对多个 AWS 账户的基于策略的管理。 + [开始使用 AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started.html) + [如何使用服务控制策略来设置您在 AWS Organization 中的跨账户权限防护机制 ](https://aws.amazon.com/blogs/security/how-to-use-service-control-policies-to-set-permission-guardrails-across-accounts-in-your-aws-organization/) + 考虑使用 AWS Control Tower：AWS Control Tower 基于最佳实践，提供了一种简单的方法来设置和管理新的、安全的多账户 AWS 环境。 + [AWS Control Tower](https://aws.amazon.com/controltower/) ## 资源 **相关文档：** + [IAM 最佳实践 ](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html?ref=wellarchitected) + [安全公告](https://aws.amazon.com/security/security-bulletins) + [AWS 安全性审计指导原则](https://docs.aws.amazon.com/general/latest/gr/aws-security-audit-guide.html?ref=wellarchitected) **相关视频：** + [使用 AWS Organizations 管理多账户 AWS 环境 ](https://youtu.be/fxo67UeeN1A) + [架构完善的安全性最佳实践 ](https://youtu.be/u6BCVkXkPnM) + [使用 AWS Control Tower 监管多账户 AWS 环境 ](https://youtu.be/2t-VkWt0rKk) # SEC01-BP02 保护 AWS 账户 您的 AWS 账户可以通过很多方法进行保护，包括保护 [根用户](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html)且不使用它，并及时更新联系人信息。随着您的工作负载增长和扩展，您可以使用 [AWS Organizations](https://aws.amazon.com/organizations/) 集中管理和控制您在 AWS 中的账户。AWS Organizations 可以帮助您管理账户、设置控制以及跨账户配置服务。 **未建立此最佳实践暴露的风险等级：** 高 ## 实施指导 + 使用 AWS Organizations：使用 AWS Organizations 集中实现针对多个 AWS 账户的基于策略的管理。 + [开始使用 AWS Organizations](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started.html) + [如何使用服务控制策略来设置您在 AWS Organization 中的跨账户权限防护机制 ](https://aws.amazon.com/blogs/security/how-to-use-service-control-policies-to-set-permission-guardrails-across-accounts-in-your-aws-organization/) + 限制 AWS 根用户的使用：只使用根用户执行明确需要根用户的任务。 + [ 需要 AWS 账户根用户凭证的 AWS 任务 ](https://docs.aws.amazon.com/general/latest/gr/aws_tasks-that-require-root.html) + 为根用户启用多重身份验证（MFA）：如果没有使用 AWS Organizations 为您管理根用户，请在 AWS 账户根用户上启用 MFA。 + [根用户 ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#id_root-user_manage_mfa) + 定期更改根用户密码：更改根用户密码可降低使用已保存的密码的风险。如果您未使用 AWS Organizations 且有其他人具有物理访问权限，那么这一点尤为重要。 + [ 更改 AWS 账户根用户密码 ](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_passwords_change-root.html) + 使用 AWS 账户根用户时启用通知：自动接收通知可降低风险。 + [ 如何在 AWS 账户的根访问密钥被使用时接收通知 ](https://aws.amazon.com/blogs/security/how-to-receive-notifications-when-your-aws-accounts-root-access-keys-are-used/) + 限制对新添加的区域的访问：对于新的 AWS 区域，诸如用户和角色之类的 IAM 资源将仅传播到您启用的区域。 + [ 设置权限，为即将推出的 AWS 区域启用账户 ](https://aws.amazon.com/blogs/security/setting-permissions-to-enable-accounts-for-upcoming-aws-regions/) + 考虑使用 AWS CloudFormation StackSets：CloudFormation StackSets 可用于通过已批准的模板将资源（包括 IAM 策略、角色和组）部署到不同的 AWS 账户和区域中。 + [ 使用 CloudFormation StackSets ](https://aws.amazon.com/blogs/aws/use-cloudformation-stacksets-to-provision-resources-across-multiple-aws-accounts-and-regions/) ## 资源 **相关文档：** + [AWS Control Tower](https://docs.aws.amazon.com/controltower/latest/userguide/what-is-control-tower.html) + [AWS 安全性审计指导原则 ](https://docs.aws.amazon.com/general/latest/gr/aws-security-audit-guide.html) + [ IAM 最佳实践 ](https://docs.aws.amazon.com/IAM/latest/UserGuide/best-practices.html) + [安全公告 ](https://aws.amazon.com/security/security-bulletins/) **相关视频：** + [ 利用自动化和监管，支持大规模采用 AWS](https://youtu.be/GUMSgdB-l6s) + [ 架构完善的安全性最佳实践 ](https://youtu.be/u6BCVkXkPnM) **相关示例：** + [ 实验室：AWS 账户和根用户 ](https://youtu.be/u6BCVkXkPnM) # SEC01-BP03 识别并验证控制目标 根据您的合规性要求以及从威胁模型中发现的风险，获得并验证您需要应用于工作负载的控制目标和控制措施。持续验证控制目标和控制措施可帮助您衡量风险缓解措施的有效性。 **未建立这种最佳实践的情况下暴露的风险等级：** 高 ## 实施指导 + 确定合规性要求：了解您的工作负载必须符合的组织、法律和合规性要求。 + 确定 AWS 合规性资源：确定 AWS 帮助您实现合规性的资源。 + [https://aws.amazon.com/compliance/ ](https://aws.amazon.com/compliance/) + [ https://aws.amazon.com/artifact/](https://aws.amazon.com/artifact/) ## 资源 **相关文档：** + [AWS 安全性审计指导原则](https://docs.aws.amazon.com/general/latest/gr/aws-security-audit-guide.html) + [ 安全公告](https://aws.amazon.com/security/security-bulletins/) **相关视频：** + [AWS Security Hub CSPM：管理安全警报和自动执行合规性检查](https://youtu.be/HsWtPG_rTak) + [架构完善的安全性最佳实践](https://youtu.be/u6BCVkXkPnM) # SEC01-BP04 及时了解最新的安全威胁 通过及时了解最新的安全威胁，帮助您定义并实施适当的控制措施，识别攻击媒介。使用 AWS Managed Services 可以更轻松地接收 AWS 账户中意外或异常行为的通知。在您的安全信息流程中，使用 AWS 合作伙伴工具或第三方威胁信息源进行调查。此 [通用漏洞披露（CVE，Common Vulnerabilities and Exposures）列表 ](https://cve.mitre.org/) 包含公开披露的网络安全漏洞，可供您用于掌握最新信息。 **未建立此最佳实践暴露的风险等级：** 高 ## 实施指导 + 订阅威胁情报来源：定期查看来自多个来源、与您在工作负载中所用技术相关的威胁情报信息。 + [通用漏洞披露列表 ](https://cve.mitre.org/) + 考虑使用 [AWS Shield Advanced](https://aws.amazon.com/shield/?whats-new-cards.sort-by=item.additionalFields.postDateTime&whats-new-cards.sort-order=desc) 服务：如果您的工作负载可通过互联网访问，则该服务可让您近乎实时地了解情报来源。 ## 资源 **相关文档：** + [AWS 安全性审计指导原则](https://docs.aws.amazon.com/general/latest/gr/aws-security-audit-guide.html) + [AWS Shield](https://aws.amazon.com/shield/) + [ 安全公告](https://aws.amazon.com/security/security-bulletins/) **相关视频：** + [架构完善的安全性最佳实践 ](https://youtu.be/u6BCVkXkPnM) # SEC01-BP05 及时了解最新的安全建议 及时了解最新的 AWS 和行业安全建议，以改善您的工作负载安全状况。[AWS 安全公告](https://aws.amazon.com/security/security-bulletins/?card-body.sort-by=item.additionalFields.bulletinDateSort&card-body.sort-order=desc&awsf.bulletins-year=year%232009) 包含有关安全性和隐私通知的重要信息。 **未建立此最佳实践暴露的风险等级：** 高 ## 实施指导 + 关注 AWS 更新：订阅或定期查看新建议、提示与诀窍。 + [AWS Well-Architected 实验室](https://wellarchitectedlabs.com/?ref=wellarchitected) + [AWS 安全性博客](https://aws.amazon.com/blogs/security/?ref=wellarchitected) + [AWS 服务文档](https://aws.amazon.com/documentation/?ref=wellarchitected) + 订阅行业新闻：定期查看来自多个来源、与您在工作负载中所用技术相关的新闻动态。 + [示例：通用漏洞披露列表](https://cve.mitre.org/cve/?ref=wellarchitected) ## 资源 **相关文档：** + [安全公告](https://aws.amazon.com/security/security-bulletins/) **相关视频：** + [架构完善的安全性最佳实践](https://youtu.be/u6BCVkXkPnM) # SEC01-BP06 在管道中自动测试和验证安全控制措施 为安全机制建立可靠的基准和模板，并将其作为构建、管道和流程的一部分进行测试和验证。利用工具和自动化功能，持续测试并验证所有的安全控制措施。例如，对机器镜像和基础设施即代码模板等项目进行扫描，以发现安全漏洞、异常以及与每个阶段的既定基准的偏差。AWS CloudFormation Guard 可帮助您验证 CloudFormation 模板是否安全，为您节省时间并减少配置错误风险。 减少引入到生产环境中的安全性错误配置的数量至关重要 — 在构建过程中，可以执行的质量控制和可以减少的缺陷越多越好。设计持续集成和持续部署 (CI/CD) 管道，以便尽可能测试安全问题。CI/CD 管道提供了在构建和交付的每个阶段增强安全性的机会。还必须确保 CI/CD 安全工具始终是最新版本，以减轻不断变化的威胁。 跟踪对工作负载配置进行的更改，帮助您进行合规性审计、更改管理以及可能适用于您的调查。您可以使用 AWS Config 记录和评估您的 AWS 和第三方资源。这使您可以依据规则及合规包（合规包是带有补救操作的规则集合），连续审计和评估您的整体合规情况。 更改跟踪应包括计划更改，计划更改可能是组织更改控制流程（有时也称作 MACD，即移动、添加、更改、删除（Move, Add, Change, Delete）)、临时更改或意外更改（如意外事件）的一部分。更改可能出现在基础设施中，但也可能涉及其他类别，如代码存储库中的更改、机器镜像和应用程序清单更改、流程和策略更改或文档更改。 **未建立此最佳实践暴露的风险等级：** 中 ## 实施指导 + 自动管理配置：使用配置管理服务或工具自动实施安全配置并对其进行验证。 + [AWS Systems Manager](https://aws.amazon.com/systems-manager/) + [AWS CloudFormation](https://aws.amazon.com/cloudformation/) + [在 AWS 上设置 CI/CD 管道 ](https://aws.amazon.com/getting-started/projects/set-up-ci-cd-pipeline/) ## 资源 **相关文档：** + [如何使用服务控制策略来设置您在 AWS Organization 中的跨账户权限防护机制](https://aws.amazon.com/blogs/security/how-to-use-service-control-policies-to-set-permission-guardrails-across-accounts-in-your-aws-organization/) **相关视频：** + [使用 AWS Organizations 管理多账户 AWS 环境](https://youtu.be/fxo67UeeN1A) + [架构完善的安全性最佳实践](https://youtu.be/u6BCVkXkPnM) # SEC01-BP07 使用威胁模型识别风险并确定其优先级 使用威胁模型识别并维护一个最新的潜在威胁登记表。确定您的威胁优先级并调整您的安全控制措施，以进行防范、检测和响应。在不断变化的安全环境中，重新审视和维护此登记表。 威胁建模提供了系统化的方法，用于在设计流程的早期阶段协助查找和解决安全问题。这个时机越早越好，因为相比生命周期的后期，前期补救成本更低。 威胁建模流程的常规核心步骤包括： 1. 确定资产、参与者、入口点、组件、使用案例和信任级别，并在设计图中包括这些内容。 1. 确定威胁列表。 1. 对于每个威胁，确定防范措施，这可以包括实施安全控制措施。 1. 创建并检查风险矩阵，以确定是否采取了足够的措施来防范威胁。 在工作负载（或工作负载功能）级别进行威胁建模最为有效，这可以确保获取所有上下文信息用于评估。随着安全形势的变化，请重新检查并维护此矩阵。 **未建立此最佳实践暴露的风险等级：** 低 ## 实施指导 + 创建威胁模型：威胁模型可以帮助您识别和解决潜在的安全威胁。 + [NIST：以数据为中心的系统威胁建模指南 ](https://csrc.nist.gov/publications/detail/sp/800-154/draft) ## 资源 **相关文档：** + [AWS 安全性审计指导原则 ](https://docs.aws.amazon.com/general/latest/gr/aws-security-audit-guide.html) + [安全公告 ](https://aws.amazon.com/security/security-bulletins/) **相关视频：** + [架构完善的安全性最佳实践](https://youtu.be/u6BCVkXkPnM) # SEC01-BP08 定期评估和实施新的安全服务和功能 评估并实施 AWS 和 AWS 合作伙伴提供的安全服务和功能，以改善您的工作负载安全状况。AWS 安全博客重点介绍新的 AWS 服务和功能、实施指导和常规安全指南。[AWS 的最新内容](https://aws.amazon.com/new) 是一个很好的工具，可帮助您随时了解所有新的 AWS 功能、服务和公告。 **未建立这种最佳实践的情况下暴露的风险等级：** 低 ## 实施指导 + 规划定期审核：创建审核活动日历，包括遵守合规性要求、评估新的 AWS 安全功能和服务，以及及时了解行业最新动态。 + 发现 AWS 服务和功能：发现适用于您使用的服务的安全功能，并在新功能发布时查看这些功能。 + [AWS 安全性博客](https://aws.amazon.com/blogs/security/) + [AWS 安全公告 ](https://aws.amazon.com/security/security-bulletins/) + [AWS 服务文档 ](https://aws.amazon.com/documentation/) + 定义 AWS 服务上线流程：定义用于上线新 AWS 服务的流程。包括您如何评估新 AWS 服务的功能，以及针对工作负载的合规性要求。 + 测试新的服务和功能：当有新的服务和功能发布时，在与生产环境非常相似的非生产环境中对其进行测试。 + 实施其他防御机制：实施自动化机制来保护您的工作负载，并探索可用选项。 + [按照 AWS Config 规则 修正不合规的 AWS 资源 ](https://docs.aws.amazon.com/config/latest/developerguide/remediation.html) ## 资源 **相关视频：** + [架构完善的安全性最佳实践 ](https://youtu.be/u6BCVkXkPnM)