前言
将整套IT系统搬到云上之后，安全就将成为用户和云服务提供商的共同责任。在这样的背景下，AWS将负责底层的基础设施的安全性，而用户将负责任何放在云上的数据或连接到云端的服务的安全性。这种安全责任共担模型会在很多方面减少运维的负担，并且在无需采取行动的某些场景下提升整个环境的安全等级。
AWS负责保护AWS云的全球基础设施。这些基础设施包括硬件，软件，网络和其他任何运行AWS服务的设施。保护这些基础设施是AWS的第一要务。虽然您无法参观AWS数据中心以了解关于此的第一手资料，我们仍然能提供第三方审计机构的审计报告来证明相关领域的合规性标准。
需要注意的是，除了保护全球基础设施，AWS还负责所有托管服务的安全配置，包括Amazon DynamoDB, Amazon RDS，Amazon Redshift，Amazon EMR，Amazon WorkSpaces和一些其他服务。这些服务提供可扩展性和灵活性，并且无需管理。对于这些服务，AWS承担基本的安全性工作例如操作系统和数据库补丁更新，防火墙配置和灾难恢复。对于大多数的这些服务，您唯一需要做的就是为这些资源配置逻辑访问控制并保护您的账户信息。其中一些服务需要一些额外的工作，例如创建数据库用户等。但总体来说，安全配置工作基本全部由AWS托管服务来承担。
有了AWS，您可以在分钟级别创建服务器，存储，数据库和虚拟桌面。您也可以使用基于云的分析和工作流工具来根据需要处理您的数据，然后将它们存储在您自己的数据中心或者云中。您使用的AWS服务决定了您需要完成多少安全配置的工作。
AWS的IaaS产品，例如Amazon EC2，Amazon VPC和Amazon S3，是完全在用户的控制下并且需要用户来进行所有的安全配置。例如，对于EC2实例，您需要负责实例的操作系统升级，安全补丁更新和任何安装在实例上的应用的维护和AWS提供的防火墙（安全组）的配置。无论您的服务器在哪个区域，这些都是基本的安全配置工作。
AWS托管的服务例如Amazon RDS和Amazon Redshift提供您执行一个特定任务所需要的所有资源，但不会提供任何相关的配置服务。使用托管服务无需担心维护实例，补丁更新和备份，但您仍然需要保护您的AWS账户信息并使用Amazon IAM来管理相关的权限。我们也建议针对每个账户使用多因子认证（MFA）并使用CloudTrail来记录所有用户的行为。
AWS合规性确保用户理解并信任AWS能保护云端的相关数据。由于系统部署在云端，合规性责任是共同承担的。通过结合政府的关注点和审计标准，AWS Compliance enablers帮助用户创建一个安全合规的环境。AWS提供的IT基础设施遵循一系列的IT安全标准，包括：
• SOC 1/SSAE 16/ISAE 3402 (formerly SAS 70)
• SOC 2
• SOC 3
• FISMA, DIACAP, and FedRAMP
• DOD CSM Levels 1-5
• PCI DSS Level 1
• ISO 9001 / ISO 27001 / ISO 27017 / ISO 27018
• ITAR
• FIPS 140-2
• MTCS Level 3
• HITRUST
另外，AWS提供的灵活性也允许用户部署满足如下特殊标准：
• Criminal Justice Information Services (CJIS)
• Cloud Security Alliance (CSA)
• Family Educational Rights and Privacy Act (FERPA)
• Health Insurance Portability and Accountability Act (HIPAA)
• Motion Picture Association of America (MPAA)
AWS 的数据中心是最先进的，利用创新的架构和工程方法设计建设。Amazon 在设计、构建和运营大规模数据中心方面积累了多年的经验。这些经验已运用到 AWS 平台和基础设施中。AWS 数据中心虽然安置在普通设施之中，但专业的安保人员会利用视频监控、入侵检测系统和其他电子方式严格控制对界限和大楼入口的物理访问。授权员工必须经过至少两次双重身份验证才能进入数据中心层。所有访客和承包商都要求出示身份证明并签名登记方可进入，并由授权人员全程陪同。
AWS 仅向具有此类权限的合法业务需求的员工和承包商提供数据中心访问权限和信息。当某位员工不再具有针对这些特权的业务需求时，其访问权限将被立即撤销，即使此员工仍是 Amazon 或 Amazon Web Services 的员工。AWS 员工对数据中心进行的所有物理访问都会被记录，并受到例行审核。
并且Amazon不承诺客户可以参观数据中心等任何基础设施，目的也是减少安全风险。通过这一系列安全措施，降低了人为破坏的风险。
AWS所有数据中心都已安装了自动火灾探测及扑救设备，以减少风险。火灾探测系统利用所有数据中心环境中的烟雾探测传感器、机械和电气基础设施空间、冷藏室及发电设备室。这些区域受到湿式、双重联锁预动式或气体式喷洒系统的保护。AWS所有数据中心的电源系统被设计为充分冗余且可维护，能够每天二十四小时、每周七天运行而不受任何影响。不间断电源系统 (UPS) 单元在出现电气故障时为设施内的关键及基本负载提供备用电源。数据中心使用发电机为整个设施提供备用电源。
数据中心需要进行温度控制，使服务器和其他硬件维持在一个恒定的工作温度，以防止过热并降低服务中断的可能性。数据中心配有空调，将气候条件维持在最佳水平。人员和系统监测温度和湿度并将它们控制在合适的水平。
AWS 监控电气、机械及生命保障系统及设备，以便立即确认任何问题。进行预防性维护，以维持设备的持续运行性。当某个存储设备已达到其使用寿命的最后时期时，AWS 程序中包括的退役流程可防止客户数据暴露给未授权的个人。作为退役流程的一部分，AWS会使用DoD 5220.22-M（“National Industrial Security Program Operating Manual，《国家工业安全计划操作手册》”）或 NIST 800-88（“Guidelines for Media Sanitization，《存储介质清理指南》”）中详细描述的技术来销毁数据。将根据行业标准实践对所有退役的磁性存储设备进行消磁和物理销毁。
出于法规或企业要求的原因，您可能想要进一步保护储存在Amazon S3、Amazon EBS、Amazon RDS 或其他 AWS 服务中的静态数据。下表列出了您在 AWS 中对静态数据实施保护时需要考虑的问题。
与传统内部环境不同，云中的数据采用独特的方式删除。
当您请求AWS删除云中的数据时，AWS不会删除底层的物理媒体，而是将存储数据块标记为未分配。AWS使用安全的机制将数据块重新分配到其他位置。当您配置数据块存储时，虚拟机管理程序或虚拟机管理器 (VMM) 会记录您的实例向哪些数据块执行过写操作。当实例向存储的数据块写入信息时，之前的数据块会被清零，然后以您的数据的数据块加以覆盖。如果实例试图从之前写入过的数据块中进行读取，则会返回之前储存的数据。如果实例试图从之前未曾写入过的数据块进行读取，则虚拟机管理程序会将磁盘中之前的数据清零并为实例返回一个空的结果。
当AWS确定物理存储媒介已经达到实用寿命的末尾或其发生了硬件故障时，AWS 会根据 Department of Defense (DoD) 5220.22-M (“National Industrial Security Program Operating Manual”) 或 NIST SP 800-88 (“Guidelines for Media Sanitization”) 的有关规定作为删除流程的一部分对数据进行销毁。
当您出于法规或企业原因需要对安全删除数据施加进一步控制时，可以使用客户管理的密钥（未储存在云中）对静态数据进行加密。除遵循之前讨论的步骤外，您还可以删除用于保护已删除数据的密钥，使其无法复原。
云应用程序经常要通过公有链接（例如互联网）进行通讯，因此当您在云中运行应用程序时，保护传输中数据的安全就显得非常重要。这涉及保护客户端与服务器之间、各个服务器之间的网络流量。
下表列出了通过公开链接（如 Internet）通信时的常见问题AWS建议的解决方案。
您可以使用 AWS 管理控制台或 AWS API 来管理 AWS 的各项服务。服务管理流量示例包括：启动新的 Amazon EC2 实例、将数据元保存到 Amazon S3 存储段、修改 Amazon VPC 中的安全组。
AWS 管理控制台在客户端浏览器和控制台服务终端节点之间使用 SSL/TLS 保护 AWS 服务管理流量。流量经 过加密，数据完整性经过验证，客户端浏览器使用 X.509 证书对控制台服务终端节点的身份进行验证。客户端浏览器与控制台服务终端节点之间的 SSL/TLS 会话建立后，所有后续 HTTP 流量皆在 SSL/TLS 会话中受到保护。
您也可以使用 AWS API 来管理 AWS 的服务，可以直接从应用程序或第三方工具进行，或通过软件开发工具包或 AWS 命令行工具实现。AWS API是采用HTTPS方式的Web服务（SOAP 或 REST）。SSL/TLS 会话在客户端与特定 AWS服务终端节点之间建立，根据所使用API不同，所有后续流量（包括 SOAP/REST 信封和用户负载）皆在 SSL/TLS 会话中受到保护。
与AWS服务管理流量相似，Amazon S3使用SOAP（采用 HTTPS 方式）接受访问。这包括所有Amazon S3服务管理请求以及用户负载，例如正在从 Amazon S3进行存储/检索的数据元内容和相关联的元数据。
当使用AWS服务控制台管理Amazon S3时，会在客户端浏览器和服务控制台终端节点之间建立SSL/TLS 安全 连接。所有后续流量皆在此连接中受到保护。当直接或间接使用Amazon S3 API时，会在客户端和Amazon S3终端节点之间建立SSL/TLS连接，之后所有的后续HTTP、SOAP和用户负载流量皆在受保护的会话中经过封装。
AWS云平台为现代化的业务应用提供一系列的优势，包括灵活性，弹性和更快的上线时间。同时AWS也提供一系列的可以用来保护用户资产和数据安全的架构和服务。即使AWS已经提供了顶级的基础设施架构，用户仍然需要保护AWS云端的数据以确保其具有完整性和高可用性，以满足各种安全合规性需求。
GoBuddy云赋是中国企业出海一站式服务提供商；提供云转售、迁移、解决方案、技术支持等专业服务，助力中国出海企业降本增效。
任何问题咨询或交流，可直接后台发送消息，我们会及时回复。
