13、AWS安全设计与实施指南

AWS安全设计与实施指南

1. 利用CloudTrail跟踪AWS API活动

AWS CloudTrail是一项用于记录AWS账户中API活动的Web服务，这些活动可以通过AWS控制台、CLI或SDK发起。它还能记录AWS服务的高级API调用，例如CloudFormation对EC2等其他服务的调用。CloudTrail事件为AWS API调用提供了丰富的信息，包括用户、时间、性质、资源和API调用的位置。因此，CloudTrail日志在事件分析、跟踪AWS资源的更改以及解决操作问题方面非常有帮助。

2. 安全分析日志记录

作为设计原则和最佳实践，应记录所有内容。此外，如果将所有日志集中收集，就可以关联各种日志记录，进行更全面的威胁分析和缓解。但要确保日志记录活动具有可扩展性，且不会过度影响应用程序的性能。例如，可以使用基于队列深度自动扩展的SQS进行日志记录活动。另外，还可以使用Logstash和Kibana等产品来帮助集中日志收集和可视化。Kibana仪表盘是动态的，支持深入挖掘、报告等功能。此外，还可以使用AWS CloudWatch和SNS自动响应日志中的某些事件。

3. 使用第三方安全解决方案

熟悉AWS Marketplace，因为那里有数百个安全独立软件供应商（ISV）和产品，可以替代应用程序中原本的操作。合作伙伴解决方案集可能是解决特定情况或应用程序架构问题的答案。

此外，某些企业漏洞扫描软件产品，如HP Fortify（可作为SaaS服务或本地产品使用）或Veracode（SaaS服务），可用于识别应用程序代码中的漏洞。这些企业安全工具可能很昂贵，但对于预防应用程序中的OWASP十大类型漏洞以