2022 re：Invent：云化时代企业如何构建云安全能力？

  在信息技术产业的发展史上，安全问题总是与之相伴。

  伴随新技术的诞生，新的安全问题陆续浮现。如今，各行各业正在掀起上云狂潮，云安全的概念随之爆发。Gartner预测到2023年，云安全市场规模将增长10倍，达到124亿美元。可以说，云计算带来数据资产的离散化和碎片化，数据分布在云上、合作伙伴及个人终端上，云安全已不容忽视，而有效的数据管理和数据转发控制将成为企业信息安全面临的核心挑战。

  企业对云安全的市场需求迎来爆发期，越来越多的企业逐渐增加对安全方面的投入，同时细分领域和场景的安全实践推动云安全市场需求水涨船高。云上安全也受到亚马逊云科技的充分重视，近日，亚马逊云科技更是在2022 re:Invent全球大会上，分享了安全的四大目标，即快速帮助客户提升安全水平，降低安全成本，减少安全问题的处理时间和提高企业安全的效率，并围绕这四大目标推出了一系列新的服务及功能。

  亚马逊云科技十分重视云上安全。从2019年开始，亚马逊云科技每年专门举办针对安全合规方面的全球大会re:Inforce，并持续迭代更新针对安全方面的新服务、新功能。据悉，在2022 re:Inforce全球安全大会上，亚马逊云科技发布了大量新服务和新功能。目前，亚马逊云科技能够在帮助客户处理海量请求的同时，追踪和监测千万亿量级的事件，并从中找出可能的威胁事件并解决他，快速让全球所有的客户受到同等级别的保护。

 亚马逊云科技大中华区产品部总经理陈晓建

  重视云上安全也体现在，亚马逊云科技从创立之初就已经将安全作为优先级最高的工作“Job Zero”。亚马逊云科技大中华区产品部总经理陈晓建表示：“对未知的海底世界进行探索需要安全做支撑，在数字化转型中也一样。只有有了强有力的安全做保证，企业才能在业务拓展中走得更好、更远。安全是亚马逊云科技最高优先级的工作，我们从未停止脚步，在云自身的安全和云中的安全上持续创新。”亚马逊云科技的每一个服务从设计阶段就已经融入了安全基因。

  帮助用户快速提升安全水平是亚马逊云科技的重要目标之一。为此，亚马逊云科技构建了安全合规责任共担模型，其中亚马逊云科技负责云平台的安全，从硬件到软件，从外到内。客户负责各自在云中所运行的内容的安全。据悉，亚马逊云科技持续在基础设施和服务层面进行安全投入，客户可以直接继承和使用;在亚马逊云科技的数据中心和区域互连的全球网络中，所有的数据流动在离开安全设施之前，都经过物理层自动加密。陈晓建表示：“使用亚马逊云科技的服务，客户可以在最安全的全球基础设施上进行构建，用户始终拥有自己的数据，并且能够加密、移动以及管理保存这些数据。”

  为了提供更高的安全性，亚马逊云科技推出第五代虚拟化芯片Amazon Nitro5，能够尽可能地减小攻击面从而实现最安全的云平台，同时，Nitro Enclaves还通过创建隔离的计算环境来进一步保护和安全地处理高度敏感的数据。作为安全性与兼容性功能，NitroTPM，亦即可信平台模块(TPM)2.0让客户可以在其EC2实例中更轻松地使用依赖TPM的应用程序和操作系统功能。

  降低安全成本能够让更多的企业接受安全解决方案。陈晓建表示：“亚马逊云科技将安全比作水和空气，目的是给客户提供好的水和空气，而不是通过水和空气来盈利。”为此亚马逊云科技打造的Amazon Verified Permissions，通过将授权与业务逻辑分离，加速应用程序开发，通过权限集中和策略生命周期管理，节省时间和资源，使用自动化分析来确认权限是否按预期执行，从而大规模简化合规性审计工作，通过动态、实时授权决策构建支持零信任架构的应用程序。

  通过创新减少安全事件的处理时间也意味着效率的提升。亚马逊云科技推出的云托管服务安全数据湖Amazon Security Lake，可以自动将客户在云端和本地的安全数据集中到客户在亚马逊云科技账户下专门构建的数据湖中，方便客户针对安全数据做出快速行动。Amazon Security Lake通过可定制的数据备份保留设置实现数据生命周期管理，可将传入的安全数据转换为高效的Apache Parquet格式，并且支持OCSF标准，可以更轻松地对来自亚马逊云科技的安全数据实现自动标准化，并能将其与几十个预集成的第三方企业安全数据源进行结合。

  安全分析师和工程师可以使用Amazon Security Lake聚合、管理和优化大批量迥然不同的各类日志和事件数据，实现更快的威胁检测、调查和事件响应，高效、快速地解决潜在问题，同时继续使用他们熟悉的分析工具。陈晓建表示：“Amazon Security Lake最终将帮助客户改善整体安全态势，为安全团队识别和了解安全事件提供更强大的可见性，并缩短安全问题的处理时间。”

  亚马逊云科技进一步丰富了Amazon GuardDuty功能。如今，Amazon GuardDuty可为Amazon Aurora提供威胁检测，以识别对存储在Aurora数据库中的数据的潜在威胁。Amazon GuardDuty RDS Protection可配置和监控客户账户中现有和新数据库的访问活动，并使用定制的机器学习模型来准确检测Aamon Aurora数据库的可疑登录。Amazon GuardDuty与Amazon Aurora集成，可以直接访问数据库事件，而不需要修改数据库，而且不影响数据库性能。

  陈晓建表示：“如果一个服务只是一个服务，用户用起来还是不够方便，我们通过服务的集成度去提升安全的效率。”因此，提高企业安全效率也是亚马逊云科技的目标之一。亚马逊云科技新推出了Amazon KMS External Key Store(AmazonXKS)，进一步提升客户数据的安全性。据悉，该功能让客户能够在亚马逊云科技之外的外部密钥管理系统中使用加密密钥、独立授权和审核来加密或解密数据。此项功能可与一百多项亚马逊云服务相集成，免去了客户繁琐的集成开发工作。

  在提升安全效率层面，Amazon Macie还推出自动化数据发现。有了这一新功能，Amazon Macie可以自动、智能地对Amazon S3桶中的对象进行采样和分析，从而检查其中的敏感数据，例如个人身份信息 、财务数据和其他凭证。紧接着Amazon Macie会构建并不断维护一个交互式数据地图，其中包含所有已启用Amazon Macie的账户和区域的Amazon S3中敏感数据所在的位置，并为每个桶提供敏感度分数。有了这个数据地图，用户在数据治理上的效率会得到大大提升。

  在云化时代，企业对安全的最本质诉求，就是要有效，不但要有效保护业务，还能有效对抗攻击。同时，企业还对“提效降本”提出新的要求。亚马逊云科技认为，未来数据的增长会驱动用户在安全上的持续投入。亚马逊云科技将持续在安全上投入，通过更好的配置、更好的工具、更智能的分析、以及更好的监控与警告机制帮助用户在云中提高安全态势。