雲端安全的重要性與挑戰
隨著企業加速數位轉型，將業務遷移至雲端已成為不可逆的趨勢。然而，雲端環境的開放性與共享性，也帶來了前所未有的安全挑戰。根據香港生產力促進局發布的《香港企業網絡安全準備指數》報告，超過六成的香港企業已採用雲端服務，但其中僅有約四成企業對自身的雲端安全防護能力具有信心。這顯示在享受雲端帶來的彈性與成本效益的同時，安全防護的複雜性與責任歸屬，成為許多企業IT管理者的核心焦慮。
雲端安全並非單一產品或服務，而是一個需要從架構設計階段就開始規劃的完整體系。它涵蓋了身份驗證、網絡隔離、數據保護、威脅偵測與合規性等多個層面。一個設計良好的雲端安全架構，不僅能防禦外部攻擊，更能有效管理內部風險，確保業務連續性與數據隱私。對於正在規劃或已使用亞馬遜雲科技（AWS）的企業而言，理解AWS的安全模型與工具，並將其與企業自身的IT服務管理框架（例如透過 itil香港 認證的專業人士所實踐的流程）相結合，是構建穩健防護的關鍵第一步。許多專業的 aws課程 也將安全架構設計列為核心模組，協助學員建立從理論到實戰的完整知識鏈。
AWS安全責任共擔模型
在雲端安全領域，最核心也最容易被誤解的概念便是「責任共擔模型」。AWS明確劃分了雲端服務供應商與客戶之間的安全責任邊界，這有助於企業集中資源在自身應負責的層面。
AWS負責的安全性：基礎設施、物理安全
AWS負責「雲本身的安全」，即運行所有雲服務的全球基礎設施。這包括：
- 實體資料中心安全： 嚴格的門禁控制、監視系統、防災設施等。
- 硬體與網路基礎設施： 伺服器、儲存設備、網路交換機的維護與安全。
- 區域與可用區域的基礎設施： 確保各區域（Region）與可用區域（Availability Zone）的隔離與韌性。
- 託管服務的底層平台與作業系統： 對於如Amazon RDS、DynamoDB等託管服務，AWS同時負責作業系統、資料庫引擎的修補與安全。
這意味著客戶無需擔心資料中心是否會斷電、伺服器硬體何時故障，或AWS全球骨幹網路是否遭受物理破壞。
客戶負責的安全性：數據、應用、身份
客戶則需負責「雲內內容的安全」，即自己在雲端上部署的一切。這包括：
- 客戶數據： 資料的分類、加密、備份、完整性及存取權限管理。
- 平台、應用程式與身份管理： 對於使用Amazon EC2這類基礎設施即服務（IaaS），客戶需負責客體作業系統、應用程式的安全設定、修補程式更新，以及所有使用者與服務的身份驗證與授權。
- 網路安全配置： 虛擬私有雲（VPC）的設計、子網劃分、路由表、防火牆（安全群組與網路ACL）的配置。
- 安全組態管理： 確保所有資源（如S3儲存貯體、EC2執行個體）的配置符合安全政策。
理解此模型至關重要。許多安全漏洞的根源並非AWS基礎設施的缺陷，而是客戶端配置不當所致。因此，投資於相關的 aws課程 培訓團隊，或引入遵循 itil香港 最佳實踐的服務管理流程來規範配置變更，能大幅降低人為疏失風險。
身份與訪問管理（IAM）
身份是雲端安全的新邊界。在實體機房時代，網路邊界清晰；但在雲端，一個被盜用的存取金鑰，可能讓攻擊者從世界任何地方取得關鍵數據。AWS IAM服務是管理身份與權限的基石。
使用IAM角色和策略管理權限
絕對避免在應用程式程式碼或組態檔中硬編碼長期存取金鑰。最佳實踐是使用IAM角色。角色是一種沒有固定密碼或金鑰的身份，可被賦予權限策略，並動態地授予給AWS服務（如EC2執行個體、Lambda函數）或外部使用者。例如，您可以建立一個僅有讀取特定S3儲存貯體權限的角色，並將其附加到需要此功能的EC2執行個體上。當應用程式在該執行個體上運行時，它會自動從執行個體中繼資料服務取得臨時安全憑證，無需管理靜態金鑰。
實施最小權限原則
最小權限原則是安全設計的核心。應為每個使用者、群組或角色僅授予完成其任務所「必需」的最低權限。例如，一個負責檢視帳單的財務人員，不應擁有啟動或終止EC2執行個體的權限。在制定IAM策略時，應從「預設拒絕所有」開始，再明確地新增允許的動作。定期使用IAM Access Analyzer審查策略，找出授予過度寬鬆權限的策略，特別是那些包含通配符（*）的資源與動作陳述式。
多因素身份驗證（MFA）
為所有根帳戶和具有管理權限的IAM使用者啟用MFA，是防止帳戶被盜用的最基本且最有效的防線。即使密碼外洩，攻擊者仍需要持有使用者的MFA裝置（如實體安全金鑰或手機驗證器應用程式）才能登入。對於高度敏感的作業，甚至可以設定MFA保護的API操作，要求在使用特定API時也需提供MFA代碼。將MFA的啟用與管理納入企業的IT服務管理流程，是 itil香港 社群中常見的存取控制最佳實踐。
網絡安全
在AWS中，虛擬私有雲（VPC）是您專屬的虛擬網路，讓您能在邏輯隔離的環境中啟動AWS資源。良好的網路設計是縱深防禦的關鍵一環。
使用VPC構建隔離的網絡環境
應根據業務需求與安全等級，設計多層次的VPC架構。常見的模式是建立「公有子網」放置需要直接對外服務的資源（如負載平衡器），以及「私有子網」放置應用程式伺服器與資料庫。私有子網的資源無法直接從網際網路存取，必須透過公有子網的跳板機或NAT閘道進行連線，這大大減少了攻擊面。對於更嚴格的隔離需求，可以使用多個VPC，並透過VPC對等連接、Transit Gateway或PrivateLink進行安全的內部通訊。
配置安全組和網絡ACL限制流量
安全群組（Security Group）作用於執行個體層級，是狀態式防火牆（記住連線狀態）。網路存取控制清單（Network ACL）作用於子網層級，是無狀態防火牆。應遵循最小權限原則進行配置：
- 安全群組： 僅允許必要的通訊埠和來源IP。例如，資料庫的安全群組應僅允許來自應用程式伺服器安全群組的流量，而非整個私有子網IP段。
- 網路ACL： 可作為額外的安全層，用於設定子網層級的允許/拒絕規則，例如阻擋已知的惡意IP位址。
使用AWS Shield保護應用免受DDoS攻擊
分散式阻斷服務（DDoS）攻擊是雲端應用常見的威脅。AWS Shield提供兩層服務：標準版自動為所有AWS客戶免費提供，可防禦常見的網路層與傳輸層攻擊。對於需要更高級保護的應用，AWS Shield Advanced提供更精細的攻擊可視性、24/7的DDoS應變團隊（DRT）支援，以及針對第7層（應用層）攻擊的緩解。結合使用Amazon CloudFront和AWS WAF（Web應用程式防火牆），可以構建一個從邊緣到來源的完整DDoS防護體系。在規劃此類進階防護架構時，參加深入的 aws課程 或諮詢擁有相關認證的專家，能確保配置的有效性。
數據加密
數據是企業的核心資產，無論是靜態儲存還是傳輸過程中，都應確保其機密性。AWS提供了多層次、易於整合的加密服務。
使用KMS加密數據
AWS Key Management Service (KMS) 是加密服務的核心。它讓您能夠建立和控制用於加密數據的加密金鑰。KMS使用硬體安全模組（HSM）來保護您的金鑰安全。您可以選擇使用AWS託管的金鑰（由AWS自動建立和管理），或客戶自控金鑰（CMK），後者讓您擁有完整的金鑰生命周期控制權，包括金鑰輪換策略和存取政策。KMS與大多數AWS服務無縫整合，是實現加密自動化的基礎。
使用S3加密對象
Amazon S3提供了多種加密選項：
- 伺服器端加密： 可選擇使用由S3託管的金鑰（SSE-S3）、KMS金鑰（SSE-KMS）或客戶提供的金鑰（SSE-C）。SSE-KMS能提供額外的稽核軌跡，因為每次使用金鑰解密物件都會記錄在CloudTrail中。
- 用戶端加密： 在數據上傳至S3之前，於用戶端先行加密。
最佳實踐是啟用S3儲存貯體的預設加密，並結合S3儲存貯體政策，強制要求所有上傳的物件都必須加密。
使用EBS加密卷
為Amazon Elastic Block Store (EBS) 卷啟用加密，可以保護作業系統底層的數據。當您啟用EBS加密時，卷內的數據、磁碟I/O以及從該卷建立的快照都會被加密。加密過程在連接EBS卷的EC2執行個體主機上進行，對效能影響極小。建議在整個區域（Region）啟用EBS加密預設設定，這樣所有新建立的EBS卷和快照都會自動加密，避免因疏忽而遺漏。
威脅檢測與響應
在複雜的雲端環境中，沒有任何防護是100%完美的。因此，具備持續的威脅偵測能力和快速的事件回應機制至關重要。
使用Amazon GuardDuty檢測惡意活動
Amazon GuardDuty是一種智慧威脅偵測服務，它透過持續分析來自CloudTrail事件日誌、VPC流量日誌和DNS日誌的數據，利用機器學習和威脅情報來識別異常和惡意活動。例如，它可以偵測到：
- 執行個體與已知的惡意IP位址進行通訊。
- API呼叫來自異常的地理位置（例如，管理員帳戶突然從非慣常國家登入）。
- EC2執行個體內部出現挖礦程式行為。
GuardDuty的發現結果會透過Amazon EventBridge發送，從而觸發自動化的回應動作，例如透過Lambda函數自動隔離受危害的執行個體。
使用AWS CloudTrail記錄API調用
AWS CloudTrail記錄了您AWS帳戶中所有API呼叫的歷史，包括呼叫方、時間、來源IP、請求參數和回應元素。它是安全稽核、資源變更追蹤和事件調查的「黑盒子」。應在所有區域啟用CloudTrail，並將日誌檔案傳送至一個集中且安全的S3儲存貯體，同時啟用日誌檔案完整性驗證，以防止日誌被篡改。將CloudTrail日誌與SIEM（安全資訊與事件管理）系統整合，是許多企業的標準做法。
使用AWS Config監控配置變更
AWS Config持續評估您AWS資源的配置，並記錄其隨時間的變更。您可以定義自訂的規則（使用AWS Managed Rules或自訂Lambda規則）來評估資源配置是否符合安全最佳實踐與內部政策。例如，規則可以檢查：
- S3儲存貯體是否公開可讀。
- 安全群組是否允許從0.0.0.0/0到SSH埠（22）。
- EBS卷是否已加密。
當Config偵測到不合規的變更時，可以發出通知或觸發補救動作。這與 itil香港 框架中強調的配置管理與變更管理流程高度契合，能實現對雲端環境配置的持續治理。
合規性
對於許多行業，尤其是金融、醫療和政府部門，符合特定的合規性標準是業務運營的法定要求。AWS提供了豐富的工具和資源來協助客戶達成合規目標。
符合常見的合規標準（例如：HIPAA、PCI DSS）
AWS基礎設施和服務已通過全球數十項合規性計畫的驗證。這意味著AWS的資料中心、實體安全和服務設計已滿足這些標準對服務供應商的要求。例如：
- PCI DSS： 適用於處理支付卡數據的組織。AWS服務清單明確列出了哪些服務符合PCI DSS要求，客戶可以在這些服務上建構符合PCI規範的應用。
- HIPAA： 適用於處理受保護健康資訊（PHI）的美國醫療機構。AWS會與客戶簽訂《商業夥伴協議》（BAA），客戶在符合BAA條款的AWS服務上部署應用，即可用於處理PHI。
香港企業可能關注的標準還包括ISO 27001、SOC 1/2/3報告，以及本地金融監管機構的要求。客戶的責任是在符合規範的AWS服務之上，正確地配置和管理自己的應用與數據，以滿足標準的其餘要求。
使用AWS Artifact獲取合規性報告
AWS Artifact是客戶獲取AWS合規性相關文件的中央入口。無需額外費用，客戶即可透過AWS Artifact按需下載AWS的第三方稽核報告，如SOC報告、PCI服務供應商合規性證明（AOC）、ISO證書等。這些文件是向您的審計師、監管機構或客戶證明底層雲端環境合規性的關鍵證據。定期查閱AWS Artifact以了解最新的合規性範圍更新，是合規團隊的重要工作。參與專注於雲端治理與風險的 aws課程，能幫助合規與安全團隊更有效地利用這些資源。
安全最佳實踐
雲端安全是一個持續的旅程，而非一次性專案。建立制度化的安全實踐文化，才能長久維持防護水準。
定期審查安全策略
安全環境和業務需求都在不斷變化。應定期（例如每季度或每半年）對IAM策略、安全群組規則、S3儲存貯體政策、KMS金鑰政策等進行全面審查。利用如IAM Access Analyzer、Security Hub等工具自動化識別過度寬鬆的授權與公開資源。審查過程應有記錄，並與變更管理流程結合。
自動化安全任務
手動執行安全任務容易出錯且無法擴展。應盡可能利用AWS服務實現安全自動化。例如：
- 使用AWS Security Hub匯總來自GuardDuty、Inspector、Config等多個安全服務的發現結果，提供統一的安全狀態視圖。
- 使用AWS Lambda和EventBridge，建立自動回應劇本。例如，當GuardDuty偵測到挖礦行為時，自動觸發Lambda函數為該EC2執行個體建立快照（取證），然後終止該執行個體。
- 使用AWS Organizations和服務控制策略（SCP）在組織層級實施統一的防護策略，例如禁止在所有成員帳戶中建立未加密的S3儲存貯體。
培訓員工安全意識
技術防護最終需要人來操作與維護。為開發人員、運維人員和IT管理人員提供持續的雲端安全培訓至關重要。鼓勵團隊成員參加系統性的 aws課程，獲取如AWS Certified Security – Specialty等專業認證，能確保團隊具備最新的知識與技能。同時，將雲端安全原則融入企業的IT服務管理生命周期。例如，在 itil香港 的服務設計階段就納入安全架構評審，在變更管理流程中強制執行安全配置檢查，在事件管理流程中定義清晰的安全事件回應步驟。唯有將安全意識內化為企業文化的一部分，才能構建真正堅固的雲端安全防線。
