AWS S3存儲(chǔ)桶旨在存儲(chǔ)任何類(lèi)型的數(shù)據(jù)，包括結(jié)構(gòu)化、半結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)。這種靈活性 - 加上它們相對(duì)較低的價(jià)格 - 使S3存儲(chǔ)桶成為數(shù)據(jù)存儲(chǔ)的常見(jiàn)選擇。然而，與所有基于云的數(shù)據(jù)存儲(chǔ)解決方案一樣，S3存儲(chǔ)桶也面臨著安全挑戰(zhàn)。S3存儲(chǔ)桶可能會(huì)以禁用重要安全保護(hù)的方式公開(kāi)暴露或錯(cuò)誤配置。
對(duì)于遺留S3存儲(chǔ)桶來(lái)說(shuō)尤其如此，這些存儲(chǔ)桶是在 AWS 發(fā)布旨在加強(qiáng)其S3存儲(chǔ)桶安全性的各種功能和工具之前設(shè)置的。雖然新S3存儲(chǔ)桶默認(rèn)啟用并提供這些保護(hù)，但它們不會(huì)自動(dòng)應(yīng)用于舊存儲(chǔ)桶。客戶(hù)有責(zé)任確定他們需要安全更新的S3存儲(chǔ)桶并進(jìn)行適當(dāng)?shù)母模绻緦?duì)其S3存儲(chǔ)桶部署缺乏全面的了解，這就會(huì)帶來(lái)安全挑戰(zhàn)。
對(duì)S3存儲(chǔ)桶安全性的需求
S3存儲(chǔ)桶提供了一種經(jīng)濟(jì)高效、有彈性且可擴(kuò)展的數(shù)據(jù)存儲(chǔ)選項(xiàng)。公司可以將大量數(shù)據(jù)轉(zhuǎn)儲(chǔ)到S3存儲(chǔ)桶中，并在需要時(shí)進(jìn)行檢索。S3存儲(chǔ)桶存儲(chǔ)結(jié)構(gòu)化和非結(jié)構(gòu)化數(shù)據(jù)的能力使其成為基于云的應(yīng)用程序的寶貴工具。應(yīng)用程序可以在這些存儲(chǔ)桶中存儲(chǔ)任何類(lèi)型的數(shù)據(jù)，而無(wú)需從特定的數(shù)據(jù)庫(kù)系統(tǒng)對(duì)其進(jìn)行正確格式化。
因此，S3存儲(chǔ)桶的好處和便利性意味著它們通常用于存儲(chǔ)大量敏感數(shù)據(jù)。因此，任何破壞S3存儲(chǔ)桶并導(dǎo)致數(shù)據(jù)泄露的網(wǎng)絡(luò)攻擊都可能導(dǎo)致代價(jià)高昂且具有破壞性的數(shù)據(jù)泄露。
S3存儲(chǔ)桶安全性有助于降低與這些存儲(chǔ)桶相關(guān)的數(shù)據(jù)安全風(fēng)險(xiǎn)。通過(guò)識(shí)別和關(guān)閉常見(jiàn)的安全漏洞和攻擊向量，S3存儲(chǔ)桶安全性可以使這些 S3存儲(chǔ)桶成為安全且有用的基于云的存儲(chǔ)解決方案。
S3存儲(chǔ)桶安全最佳實(shí)踐
AWS S3存儲(chǔ)桶是一種方便的資源；但是，它們也存在重大的安全風(fēng)險(xiǎn)。使用S3存儲(chǔ)桶保存公司數(shù)據(jù)時(shí)，正確保護(hù)這些存儲(chǔ)桶非常重要。
配置這些資源時(shí)要牢記的一些 AWS S3 安全最佳實(shí)踐包括：
阻止公共訪(fǎng)問(wèn)： AWS S3存儲(chǔ)桶可以直接從公共互聯(lián)網(wǎng)訪(fǎng)問(wèn)，并且可以配置為可公開(kāi)訪(fǎng)問(wèn)。阻止公共訪(fǎng)問(wèn)對(duì)于保護(hù)數(shù)據(jù)免遭未經(jīng)授權(quán)的訪(fǎng)問(wèn)和破壞至關(guān)重要。
實(shí)施最低權(quán)限： 最低權(quán)限訪(fǎng)問(wèn)控制策略授予用戶(hù)和應(yīng)用程序其角色所需的最低權(quán)限集。為S3存儲(chǔ)桶實(shí)施最低權(quán)限可降低與帳戶(hù)受損或?yàn)E用合法訪(fǎng)問(wèn)權(quán)限相關(guān)的風(fēng)險(xiǎn)。
靜態(tài)加密數(shù)據(jù)：云數(shù)據(jù)泄露很常見(jiàn)，公司面臨數(shù)據(jù)可能泄露的風(fēng)險(xiǎn)。加密存儲(chǔ)在S3存儲(chǔ)桶中的數(shù)據(jù)可降低攻擊者讀取暴露的S3存儲(chǔ)桶中包含的數(shù)據(jù)的風(fēng)??險(xiǎn)。
自動(dòng)化配置管理： AWS S3存儲(chǔ)桶具有多種配置設(shè)置，錯(cuò)誤配置會(huì)使數(shù)據(jù)暴露給未經(jīng)授權(quán)的訪(fǎng)問(wèn)。自動(dòng)化配置監(jiān)控和管理使組織能夠快速識(shí)別和糾正危險(xiǎn)的錯(cuò)誤配置。
盡可能使用 MFA： 多因素身份驗(yàn)證 (MFA)使攻擊者更難使用竊取的憑據(jù)訪(fǎng)問(wèn)數(shù)據(jù)或執(zhí)行其他惡意操作。在刪除存儲(chǔ)桶或更改其版本控制狀態(tài)時(shí)，至少應(yīng)使用 MFA 刪除來(lái)強(qiáng)制使用 MFA。
保留和監(jiān)控日志：日志文件和警報(bào)對(duì)于識(shí)別和響應(yīng)安全漏洞至關(guān)重要。使用 Amazon CloudWatch 和 CloudTrail 等工具監(jiān)控 AWS 基礎(chǔ)設(shè)施可以加快威脅檢測(cè)和響應(yīng)速度。
