Security | 亚马逊AWS官方博客

新增功能 – 使用 WebAuthn 对 AWS SSO 执行 Multi-Factor Authentication

即日起，除了当前支持的一次性密码 (OTP) 和 Radius 身份验证器之外，您还可以将 WebAuthn 作为一种新的 Multi-Factor Authentication (MFA) 添加到 AWS Single Sign-On。添加对 WebAuthn（一种 W3C 规范，与 FIDO Alliance 协同开发）的支持后，您现在可以使用系统管理员预置的或笔记本电脑或智能手机中内置的各种可互操作的身份验证器进行身份验证。例如，您现在可以点击硬件安全密钥，触摸 Mac 上的指纹传感器，或使用移动设备或 PC 上的面部识别功能，在 AWS 管理控制台或 AWS 命令行界面 (CLI) 中进行身份验证。

基于 Permission Boundary 的多账号管理权限限定方法

在AWS云环境中，多账号管理最好的方法是采用AWS Control Tower和Organization。而对于中国区的用户，在没有合适的原生服务可用时，也可以采取一些自开发的方法来部分满足需求。本文针对一个具体的案例-如何限制不同类型的管理员的权限，给出了解决方案，作者也希望借此能够为大家提供一种思路，以解决更多多账号管理中遇到的问题。在这个解决方案中，我们使用了IAM, Permission boundary, Lambda，CloudTrail, AWS Config, DynamoDB, SQS, CloudWath Event, CloudWatch Log 等AWS 服务。

在 AWS 上构建安全的 Citrix 桌面云

本文介绍如何借助公有云原生的安全服务提升 Citrix 解决方案的安全防护能力。

基于 Amazon GuardDuty 威胁级别的自动化通知

Amazon GuardDuty 是一种威胁检测服务，可持续监控恶意活动和未经授权的行为，从而保护您的 AWS 账户和工作负载.但很多时候管理员并没有对Amazon GuardDuty 的调查结果进行主动监测,导致出现严重风险时没有及时发现和响应,本文介绍了一种方法可以根据Amazon GuardDuty 报告的威胁级别通过电话和主动邮件的方式及时通知管理员,避免风险进一步扩大,让管理人员能够及时响应和处理。

通过 STS Session Tags 来对 AWS 资源进行更灵活的权限控制

通过STS实现终端用户只能管理自己的S3文件的场景来介绍STS的Session Tags功能，通过STS Session Tags，让AWS的资源的权限管理更加灵活，可自定义化。本文只演示了S3资源，但实际生产中可将STS Session Tags应用于所有AWS资源。

AWS Security JAM 服务之启动篇

AWS Security JAM服务是由AWS Professional Service 团队开发并向参与者提供的一项专业服务。AWS Security JAM能帮助众多AWS使用者，客户，参与者通过JAM平台中的挑战，来学习100+家企业的实践经验。每个挑战可以理解为一个案例题目，深入体会每个挑战案例如何通过最小权限，最安全的方式完成挑战案例。

“删库” 事件将引发快速构建低成本云安全灾备架构

删库”事件，不只一次发生，这次突发事件影响很大，影响的不只是6天144小时的服务暂停、10亿港币蒸发，约300万商户苦苦等待，还有SaaS信息系统重大突发事件处理经验和教训，以及企业对灾难备份重视。其实，类似事件时有发生是有原因的。按照海因里希安全法则，此类事件属于300∶29∶1法则中的1/330。这个1/330从信息系统的视角分析。这意味着：当一个企业的信息系统持续有300起安全隐患或违规问题，非常可能要发生29起轻度问题或故障事件，另外还有一起突发的重大信息系统事故。

在 Amazon Elasticsearch Service 上推出 Open Distro for Elasticsearch 安全功能

我们很高兴地宣布，我们将在 Amazon Elasticsearch Service 上推出新的 Open Distro for Elasticsearch 安全功能。Amazon Elasticsearch Service 经常用于敏感的企业工作负载，今天发布的新内容将增加多项功能，让您可以更严格地控制自己的数据。新功能包括使用角色来定义针对索引、文档和字段的精细权限，以及使用只读视图和租户级控制面板与图表扩展 Kibana 的功能。

隆重推出与 AWS Security Hub 集成的 Cloud Custodian

对于云的安全性、合规性和成本管理解决方案而言，受欢迎的选择之一是 Cloud Custodian，一个由 Capital One 赞助的开源项目。Cloud Custodian 是灵活的规则引擎，采用简单的 YAML 配置文件写出政策，支持超过 130 种 AWS 资源类型。然而，因为 Cloud Custiodian 主要通过邮件通知或命令行输出以及云观察指标进行报告，所以缺乏带有搜索和过滤功能的统一视图对于拥有大型环境和多个账户的客户来说是一个痛点。

现在，这一痛点的处理方式是集成 Cloud Custodian，作为 AWS Security Hub 的结果提供商。新发布的 AWS Security Hub 提供了您在 AWS 中安全状态的全面视图，包括关于安全行业标准和最佳规范的合规性。Security Hub 搜集了关于 AWS 账户、服务和受支持第三方合作伙伴的安全数据，帮助分析安全趋势，识别最高优先度的安全问题。

关于 GDPR 初创公司应该了解些什么？

无论是仅创办公司还是迁移现有存储或应用程序，网络安全、速度和可扩展性问题都是每家公司检查清单上的首要问题。现在，隐私和“数据保护”（这是欧洲对此领域的称谓）也成为首要问题。

首先，隐私和数据保护对任何企业的成功都至关重要，如果它还不是您考虑的重中之重，那么您应当如此考虑。欧洲联盟的通用数据保护条例 (GDPR) 是近 20 年来数据隐私和保护法律领域最大的变化。它提出了多项重要的要求，每家企业都应当了解下列有关 GDPR 的事实

Category: Security