15、AWS 网络安全与存储：最佳实践与选择指南

AWS 网络安全与存储：最佳实践与选择指南

1. AWS 云网络安全概述

在当今数字化时代，安全始终是各组织的首要任务。AWS 提供了多种托管安全服务和完善的架构支柱，助力用户设计安全解决方案。用户可通过创建允许协议、端口、CIDR 网络和安全组（SG）源的白名单，并在 AWS 云上实施多项策略，来构建安全的网络基础设施。

网络访问控制列表（NACL）用于明确阻止恶意流量，并对与互联网的边缘连接进行分段。SG 则是主机级别的虚拟防火墙，保护 EC2 实例免受特定实例进出流量的影响。SG 是有状态的防火墙，只需创建一个方向的规则，返回流量将自动被允许。而 NACL 是位于子网边界的虚拟防火墙，用于调节一个或多个子网的进出流量，它是无状态的，需要同时设置入站和出站规则才能允许特定流量。

对比项	SG	NACL
工作层级	实例级别，是第一道防线	在 AWS VPC 内的子网级别工作
规则类型	只能添加“允许”安全规则	除允许规则外，还可明确添加“拒绝”规则，如拒绝特定 IP 地址的访问
状态特性	有状态，添加入站允许规则后，自动添加出站允许规则	无状态，添加入站允许规则后，必须明确添加出站允许规则 </