雲端運算 - 資安趨勢部落格

十大AWS安全秘訣：第四條，保護客戶端作業系統

2013 年 04 月 09 日2013 年 12 月 24 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Mark Nunnikhoven

我們大約地討論了有關開發AMI的問題。現在我們要來看看如何保護運行在EC2和VPC虛擬機器上的客戶端作業系統。

AWS的建議

AWS已經發表了不少關於他們服務的文件。AWS安全最佳實作[PDF]和AWS風險與法規遵循[PDF]更是其中非常棒的安全資源。在最佳實作這份文件中，「防護你的應用程式」章節（第4頁）底下，他們提出了一些建議，歸納為以下幾點：

盡快安裝修補程式
對於作業系統和服務要使用建議的安全設定
測試，測試，再測試

這真是非常正確而有效的建議，讓我們來看看這些建議實際應用時會面臨的問題。

儘快安裝修補程式

這是IT經常會聽到的一句話。我們都知道需要更新修補程式，但這過程相當痛苦，通常這痛苦會跟測試有關。當你的應用程式放在雲端環境，你不用那麼經常去對運作中的系統更新修補程式，因為基礎AMI可以讓這事情變得更加容易些。

你可以在測試環境中部署基於你基礎AMI的虛擬機器，安裝修補程式，接著再執行所有所需的測試。如果修補程式不會影響到你的設定，就建立更新過的基礎AMI。下一步就是排定時間將新的AMI部署到作業環境上。取決於你的應用程式，甚至可能和之前的版本並行運作一段時間以消除停機時間。

使用建議的安全設定

大多數作業系統和服務都會有建議設定。仔細閱讀它們！也可以到有信譽的資料來源研究所建議的設定。整理這些建議設定，接著根據你的需求來完成設定。請記住最小權限原則，只在有絕對需要時才開啟服務或功能。

繼續閱讀

十大AWS安全祕訣：第二條，密碼策略和多因子身分認證

2013 年 03 月 12 日2013 年 12 月 24 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Mark Nunnikhoven

在介紹如何利用AWS身份和存取管理來保護資源的文章裡，Justin介紹了AWS身份存取管理（IAM）的基本知識。今天我們要來看看如何使用IAM來設定密碼策略和多因子身分認證。

密碼策略（Password Policies）

使用強密碼的重要性是眾所周知的。大多數組織都已經有了密碼策略。這種策略通常會定義複雜度（像是包含多少個數字、特殊字元和密碼長度等），以及變更週期（像是每九十天就必須變更密碼）。

有些策略會更進一步，對於不同的設備或角色有不同的要求。CSIS的前廿項控制裡的第12項 – 「控制管理權限的使用」裡介紹了密碼策略的強化。就是要確保具有管理存取權限的人使用複雜密碼，並且必須一年變更好幾次。

IAM目前提供了一連串的設定來強制執行密碼策略。你可以為你的AWS帳號設定密碼策略。這策略可以讓你定義密碼的複雜度，但並不能設定變更週期。

現在就開始使用密碼策略是很棒，但你需要手動要求使用者定期變更密碼，或是採取別的方法加強……或是雙管齊下！

多因子身份認證

AWS的多因子身份認證（MFA）正是我們用來加強密碼策略的方法。

那麼，到底什麼是MFA？就是使用一個以上的認證因子來驗證誰是使用者。有三個常見因子：你知道什麼東西（something you know）、你擁有什麼東西（something you have）和你的生物特徵（something you are）。

我們的使用者已經具備了一個因子，就是密碼（使用者知道的東西）。對於AWS，第二個因子是使用者擁有的東西。可能是硬體認證裝置（可向AWS購買）或用軟體認證裝置，安裝在智慧型手機或其他設備上。

這些認證裝置會顯示隨機生成的數字，必須在使用者輸入自己的帳號和密碼登錄AWS管理控制台時輸入。這數字每隔幾秒鐘就會變化一次，以確保使用者在登錄時有認證裝置在身上。

現在想要認證成功，就必須輸入正確的帳號密碼，加上由正確認證裝置在使用者登錄當下所產生的數字。

繼續閱讀

< 雲端運算 >十大AWS亞馬遜網路服務安全祕訣：第一條，用IAM保護你的資源

2013 年 03 月 05 日2013 年 12 月 24 日 Trend Labs 趨勢科技全球技術支援與研發中心

在接下來的幾個星期，我們將會探討如何防護AWS（亞馬遜網路服務）環境的最佳做法。在我們深入到防護你的虛擬機器、應用程式和資料之前，讓我們從最頂端開始。

作為AWS共享責任安全模型的一部分，AWS消費者防護好自己的服務可以發揮重要的作用。早在二〇一二年十一月的AWS re:invent大會上，Max Ramsay就將AWS與CSIS廿個關鍵安全控制對應，作為進一步了解AWS和客戶端（你）之間共同責任的框架。關鍵控制的第十二項是控制管理權限使用，負起保護責任是身為AWS用戶的你所必須加以正視的。在接下來的幾個星期，我們會聚焦在你所需要負起責任的關鍵控制。

在虛擬化或雲端世界，管理權限就好比是作業系統上的管理者帳號。不過，現在你有更多組強大的身份需要管理，好存取AWS控制台和API。

收起你的AWS管理者（root）帳號，利用IAM（身份存取管理）來啟動存取權限

當你開始使用AWS，你會獲得一組帳號和密碼。這個帳號擁有存取你所有AWS資源和帳務資訊的權限。不要跟任何人分享！我知道有某個經理跟他的團隊共享帳號，他們很快就發現可以用經理的信用卡在Amazon.com上買東西！

確認該帳號安全後，接著進到控制台上的IAM 選項，開始定義群組和使用者。