Security by Design
概览
在 AWS 中实现安全、合规性和管理的自动化
Security by Design (SbD) 是一种安全保证方式，可实现 AWS 账户设计的规范化、安全控制的自动化以及审计的简化。SbD 提供建立在整个 AWS IT 管理流程中的安全控制，而不是追溯性地依赖审计安全。通过在 AWS CloudFormation 中使用 SbD 模板，云中的安全性和合规性将更为高效，影响范围更广。
SbD 是一种跨多个行业、标准和安全准则的大规模安全性和合规性方法。在为所有的安全性阶段设计安全性和合规性功能时，您可以使用 AWS SbD 在 AWS 客户环境中设计任何内容：权限、日志记录、信任关系、加密执行、要求经批准的计算机映像等。SbD 使您能够自动执行 AWS 账户的前端结构，将安全和合规性可靠地编码至 AWS 账户，使不合规 IT 控制成为过去。
Security by Design 方法
针对在 AWS 中运行的 AWS 客户基础设施、操作系统、服务和应用程序，SbD 概述了控制责任、安全基准的自动化、安全配置和客户对控制的审计。此设计具有标准化、自动化、规范且可重复的特点，可根据常见的使用案例、安全标准和审计要求跨多个行业和工作负载进行部署。
AWS 建议通过以下四阶段方法将安全性和合规性部署到您的 AWS 账户中：
第 1 阶段 - 了解您的要求。概述您的策略，然后记录您从 AWS 沿用的控制。接着记录您在 AWS 环境中拥有并运行的控制，然后决定要在 AWS IT 环境中执行哪些安全规则。
第 2 阶段 - 构建满足您的要求和实施的安全环境。以 AWS 配置值的形式定义您要求的配置，例如，加密要求（如强制对 S3 对象进行服务器端加密）、资源权限（适用于特定环境的角色）、哪些计算机映像经过授权（基于您授权的服务器硬化映像）以及必须启用哪些类型的日志记录（如在适用资源上强制使用 CloudTrail）。AWS 具有一套成熟的配置选项以及随时发布的新服务，并且 AWS 可通过提供模板来使您的环境与安全控制相匹配。这些安全模板（采用 AWS CloudFormation 模板形式）可提供全面且可系统地实施的规则集合。AWS 已经开发了提供安全规则的模板，且这些规则符合多个安全框架。有关更多信息，请参阅 Security by Design 简介白皮书。
您可以向经验丰富的 AWS 架构师、AWS 专业服务和 AWS 合作伙伴解决方案团队寻求更多帮助，以便您创建安全环境。这些团队可与您的员工和审计团队一起工作，在第三方审计的支持下，帮助实施高质量的安全环境。
第 3 阶段 - 强制使用模板。AWS Service Catalog 允许您要求在目录中使用您的模板。这一步骤可确保在创建的所有新环境中使用安全环境，并防止任何人创建不符合安全环境安全规则的环境。要求在目录中使用您的模板可确保准备好剩余的空间安全配置以供审计。
第 4 阶段 - 执行验证活动。通过 Service Catalog 和安全环境模板来部署 AWS 可帮助创建审计就绪环境。您在模板中定义的规则可用作审计指南。借助 AWS Config，您可以捕获任意环境的当前状态，然后将其与您的安全环境规则进行比较。通过使用安全读取访问权限以及唯一脚本，您可以启用审计自动化以收集证据。您可以将传统的人工管理控制措施转换为技术上强制实施的控制体系，同时保证：如果设计和范围设置得当，相比传统的审计抽样方法或时间点审查方法，该控制体系可在任意时间点完整生效。
这种技术审计可通过预审计指导得到改善，例如，针对您的审计机构的支持和培训可确保审计人员了解 AWS 云提供的独特审计自动化功能。
Security by Design 的影响
SbD 方法可以实现以下目标：
- 创建强制性功能，使不可修改这些功能的用户无法对其进行覆盖。
- 建立可靠的控制操作。
- 启用持续的实时审核。
- 监管策略的技术脚本编写。
结果是获得一个支持环境的安全、保证、管理和合规性功能的自动化环境。现在，您可以可靠地实施之前仅在策略、标准和规章中写入的内容。此外，您还可创建强制性的安全和合规性规则，而这些规则反继而创建一个适用于您的 AWS 环境的可靠的功能性管理模式。
