随着数字经济在社会生活更多领域的发展，数据的安全性越来越受到关注。
近年来，借助5G、云计算、大数据、物联网等新兴技术，人们可以充分拥抱万物互联的新世界，体验数字时代带来的便利和快捷。但如果不将这些领先的技术和应用纳入安全管理范围，无疑会给黑客或别有用心的人带来“打开自己防盗门的钥匙”，造成难以想象的损失和后果。这可能也是很多企业重视安全管理的最根本原因。
这一次，比特网有机会和亚马逊云技术大中华区战略业务发展部总经理顾凡聊一聊亚马逊云技术的云安全理念和安全策略。云安全有多重要？
亚马逊技术大中华区战略业务发展部总经理顾凡
近年来，云计算的应用越来越丰富，使得很多企业有了进一步的发展。然而，这项技术不仅大大节省了企业用户的计算成本，还提高了计算效率。同时也使得企业面临的安全问题和传统的安全问题从安全方案、服务模式等方面有了很大的改变。
如今，云计算不仅成为企业运营业务案例的一种选择，也成为降低成本、保证连续可用性、减少停机时间的有效手段。过去，人们只能在装有防火墙或其他安全工具来保护信息的办公室和工作室中，通过访问帐户、文件和业务的服务器连接到公司网络。
然而，云计算应用的出现改变了这种情况，使用户能够远程访问企业应用、文档和服务。根据研究机构IDG的调查，至少92%的企业IT环境部署在云平台上。与此同时，云计算服务给数据安全带来了挑战和风险，这需要新的安全工具和实践。
顾凡说:“企业自建数据中心，也需要建设安全，但只需要自己建设一切，需要考虑安全设备管理、合同签订、成本问题等。当云被应用后，企业不需要关心琐碎的底层基础设施安全，云中的安全治理有机会达到更高的水平。”
亚马逊云技术的“洋葱模型”
针对安全策略，亚马逊云技术有一个五层洋葱防护模型，其中第一层是威胁检测和事件响应。要知道，威胁检测就像是“专业气象员”。它需要能够准确定位、快速响应、监控和分析安全威胁的原因。
针对威胁检测和事件响应，目前亚马逊GuardDuty可以持续检测发生在亚马逊云技术上的威胁，拥有丰富的信息源。同时，亚马逊守卫岗集成了机器学习的能力，实现威胁的精准定位，报警量降低50%。
此外，Amazon Security Hub的统一安全事件管理平台允许客户每周7天、每天24小时监控和响应威胁，并自动执行合规性检查。
洋葱模型的第二层:认证和访问控制。“身份认证和访问就像一座坚固城堡的大门。在某一点上身份认证的漏洞可能会带来意想不到的严重后果。没有良好身份验证的访问策略就像建造一座坚固的城堡，但却向未知的访问者敞开了大门。”顾凡形象地说。
据悉，亚马逊云技术在身份认证方面有两点经验和三点技术建议。经验之一就是保持最小授权原则。应确认每项授权是否必要或是否与业务/职责相关。第二个经验是定期审计最低授权原则，没有永久授权，所有授权都必须有时效。
三点技术建议:一是尽可能细化接入的粒度，按照时间、地点、服务设置接入条件；二是结合多因素认证技术加强身份认证；三是减少长期凭证的使用。目前，IAM是身份认证和访问控制的核心服务，可以提供覆盖亚马逊云技术所有服务和资源的精细访问控制。Amazon Organizations是一个高效的身份认证和访问控制服务，可以集中管理一个机构的多个账号，建立权限保护机制和数据边界。
洋葱模型的第三层:网络和基础设施安全。顾凡说，“防御DDoS攻击是这层保护的重点。DDoS防御应该是自始至终贯穿全年，不像应急。”如果DDoS攻击在得到处理之前就被发现，业务的稳定性和连续性就会受到影响。
目前，亚马逊ShieldAdvanced可以为客户提供全天候的保护。网络访问规则是所有防御的基础。Web应用防火墙服务Amazon WAF提供了丰富的规则库，包括亚马逊安全团队开发的所有托管规则，客户也可以自定义的规则，以及国际一线安全厂商的托管规则。
洋葱模型的第四层:数据保护和隐私。亚马逊技术提供数据全生命周期的加密服务，对数据的保护涵盖数据存储、传输、使用的各个环节。亚马逊KMS密钥管理服务在存储期间实现加密。它集成了亚马逊云技术的140项服务，可以加密存储在这些服务中的数据。
对于数据保密性要求较高的客户，亚马逊CloudHSM在云上提供了安全简单的专用加密机。亚马逊Nitro Enclaves在云中提供了一个机密的计算环境。通过它，客户可以创建一个隔离的环境来处理敏感数据，而无需向其系统管理员、开发人员和应用程序提供访问权限，从而减少处理敏感数据过程中的攻击面。
洋葱模型的第五层:风险管理和合规。顾凡说，“亚马逊云技术在三个方面帮助用户遵守法规。第一，保证亚马逊云技术服务本身的合规性；二是合规计划落地；第三是自动化审计。”
Amazon Audit Manager简化了审计管理和合规性评估。Audit Manager可以自动扫描和收集证据。还提供了各种合规认证的模板，可以简化合规审计的取证。此外，亚马逊云技术还提供亚马逊可信顾问定制云计算专家、亚马逊安全公告、亚马逊安全文档云服务配置建议等各种在线工具。，并为客户提供他们所有的安全合规性体验。
正如其名，亚马逊云技术的洋葱模型从概念到技术层层保护用户的安全。
写在最后
一直以来，亚马逊云技术为客户构建多层防护体系的目的是帮助客户更简单地解决安全问题，不断加大安全投入，但不设定安全收入指标，让安全服务像水空气一样提供给用户。不依靠水和空气来产生利润，而是需要为用户提供优质的水和空气来创造健康的环境。
