避免AWS最常见的5个安全隐患

在Evident.io，我们独立进行了一整套分析，其结果显示：在人为失误下，各种各样的Amazon
Web Services 安全控制机制并不是万无一失的，这些人为的失误让云中工作负载运行在一个不可接受的风险等级。 

在Evident.io，我们持续聚合、匿名化和分析由平台收集的AWS配置数据，得出了一些你可能不曾预想到的问题。

在下面，我将分享2015年1月由 Evident Security Platform平台检测出的5个最常见的AWS安全隐患，并分享一些简单有效的应对。

1）EBS卷忘记加密 

EBS卷加密采用了AES-256机制，对于静态数据加密来说，AES-256便捷且合规。但需要切记的是，一旦EBS卷建立，非加密卷并不能平滑的进行加密。因此，在EBS卷建立时，你就必须对EBS卷进行加密。

2）EBS卷的快照皆在两周以上

快照（snapshot）是恢复EBS卷（volume）的一种成本较低的方法，这些快照可以在运行期间产生。我们看到过这样一些情况，客户端可以从信息检索（Information Retrieval，IR）获得的快照中得到有用的信息，这样客户端就可以对系统进行取样分析，从虚拟的私有云沙箱中的快照攻破系统。 

在EBS volumes恢复上，快照（Snapshots）是一个非常低成本的途径，同时快照的建立并不需要系统下线。 

3）未使用的 EC2 Security Groups

保持 EC2 Security Groups清洁，你可以避免因为错误使用非法安全组策略所遭受的攻击。很多情况下，新用户会使用不安全的安全组进行错误的EC2实例发布，而这些安全隐患常常会导致事故发生。养成良好的安全习惯，并移除从未使用的 EC2 Security Groups。

4）未使用或者未维护的ELB Security Groups

保持ELB Security Groups清洁，你可以避免因为错误使用非法安全组策略所遭受的攻击。在一个大型的多层架构中，ELB是后端系统的前站，而ELB拥有安全组来确保只有经授权的安全组策略可用。养成良好的安全习惯，并移除从未使用的 ELB Security Groups。

5）在一个安全组中为活跃的instance/ELB设置TCP或UDP端口访问的全局权限

限制到已知静态IP地址或者CIDR范围的访问。因为使用了不安全的全局访问安全组策略所发布的EC2实例，许多客户都需要应对其造成的安全问题。监视活跃的安全组允许客户减少检测和修复相关漏洞防火墙的时间，并让用户最小化受攻击范围。

原文链接：https://blog.evident.io/blog/2015/1/23/top-5-aws-security-risks-and-how-to-avoid-them

如您需要了解AWS最新资讯或是技术文档可访问AWS中文技术社区；如您有更多的疑问请在AWS技术论坛提出，稍后会有专家进行答疑。

订阅“AWS中文技术社区”微信公众号，实时掌握AWS技术及产品消息！

AWS中文技术社区为广大开发者提供了一个Amazon Web Service技术交流平台，推送AWS最新资讯、技术视频、技术文档、精彩技术博文等相关精彩内容，更有AWS社区专家与您直接沟通交流！快加入AWS中文技术社区，更快更好的了解AWS云计算技术。

                                                                                                           （ 翻译/薛童阳  责编/王玉平 ）