AWS Security

服务商概述

AWS（Amazon Web Services）是全球最大的公有云平台，其安全服务体系是云原生安全领域的标杆。AWS Security 涵盖威胁检测、Web 应用防护、漏洞扫描、数据保护、密钥管理和合规审计等 200+ 安全合规服务，为全球数百万客户提供分层安全防御能力。

AWS 安全模型遵循共享责任模型（Shared Responsibility Model）——AWS 负责"云本身的安全"（基础设施、硬件、数据中心物理安全），客户负责"云中的安全"（数据分类、访问控制、补丁管理、配置审计）。这种模型让企业可以在 AWS 提供的基础安全能力之上，灵活构建符合自身合规要求的 安全防护体系。

核心优势

• 全面的威胁检测能力：Amazon GuardDuty 利用机器学习和集成威胁情报，持续分析 VPC 流日志、CloudTrail 事件日志和 DNS 查询日志，每日处理数十亿事件，威胁检出率达到 99% 以上。支持自动响应与 AWS Security Hub 联动编排。
• 多层 Web 应用与网络防护：AWS WAF & Shield 提供从 L3 到 L7 的全面防护。Shield Standard 免费内置，自动防御常见 DDoS 攻击；Shield Advanced（$3,000/月）提供 T 级别攻击缓解、24×7 应急响应和费用保护。WAF 支持托管规则、速率限制和 IP 封禁。
• 自动化漏洞与配置审计：Amazon Inspector 自动扫描 EC2 实例、容器镜像和 Lambda 函数的软件漏洞及网络可达性，与 AWS Systems Manager 集成实现自动化补丁。Security Hub 聚合来自 GuardDuty、Inspector、Macie 等服务的发现结果，提供统一合规仪表板。
• 智能敏感数据保护：Amazon Macie 利用 ML 自动发现、分类和保护 S3 中的敏感数据，覆盖 PII、财务数据、医疗信息等数百种数据类型，自动生成安全告警并支持定制数据识别规则。
• 集中化密钥与加密管理：AWS KMS 集中管理加密密钥，与 100+ AWS 服务原生集成，支持自动密钥轮转、跨区域密钥复制和 FIPS 140-2 三级认证的硬件安全模块（HSM）。Cloud HSM 提供专属 HSM 实例满足最高合规要求。

产品生态

Amazon GuardDuty

GuardDuty 是 AWS 的智能威胁检测服务，持续分析 VPC 流日志、DNS 查询、CloudTrail 管理事件和 S3 数据事件。使用集成威胁情报和 ML 模型识别异常行为，如异常端口扫描、加密货币挖矿通信、DNS 隧道、凭证窃取等。检测到威胁后自动生成安全发现并推送至 Security Hub 和 EventBridge，支持与 Lambda 自动响应函数联动。

AWS WAF & Shield

AWS WAF 是 Web 应用防火墙，支持托管规则（如 OWASP Top 10）、IP 封禁、地理限制、速率限制和自定义规则。与 CloudFront、ALB、API Gateway、AppSync 集成。Shield Advanced 在 WAF 基础上提供增强的 DDoS 攻击检测和缓解、24×7 应急响应团队支持以及 DDoS 费用保护（屏蔽期间免除相关资源费用）。

Amazon Inspector

Inspector 是自动化漏洞管理服务，持续扫描 EC2、ECS、Lambda 和容器镜像的已知漏洞（CVE）和网络暴露风险。提供 CVSS 评分和修复建议，支持与 Systems Manager 补丁管理和 Security Hub 集成，实现漏洞发现到修复的闭环。

Amazon Macie

Macie 是数据安全与隐私保护服务，使用 ML 和模式匹配自动发现、分类和保护 S3 中的敏感数据。支持预定义识别器（身份证号、信用卡号、API 密钥等）和自定义识别规则。提供数据安全评分和交互式数据发现面板，帮助合规审计和数据治理。

AWS KMS & Cloud HSM

AWS KMS 提供集中密钥管理，与 100+ AWS 服务集成，支持对称和非对称密钥、自动轮转和跨账户密钥共享。Cloud HSM 提供专属 FIPS 140-2 三级 HSM 实例，满足 PCI DSS、GDPR、HIPAA 等严格合规需求。两者均支持 AWS CloudTrail 审计日志。

AWS Security Hub

Security Hub 是统一安全与合规中心，聚合来自 GuardDuty、Inspector、Macie、Firewall Manager、IAM Access Analyzer 以及第三方安全工具（如 CrowdStrike、Palo Alto Networks、安全服务商）的安全发现。提供自动合规检查（如 CIS AWS Foundations、PCI DSS、SOC 2）和安全评分面板。

不足之处

• 成本叠加效应：每个安全服务独立计费，多服务同时启用后月成本可能高于第三方统一安全平台。建议通过 Security Hub + GuardDuty + Inspector 的核心组合起步，按需扩展。
• 配置复杂度高：安全策略需要跨 GuardDuty、WAF、Shield、Security Hub 等 10+ 服务编排，团队需要具备 AWS 安全专业知识。可参考 网站安全最佳实践降低初始配置门槛。
• 高级功能需付费升级：GuardDuty 恶意软件检测（额外 $0.09/GB）、Shield Advanced（$3,000/月 + 数据传输费）、Macie（按数据量计费）等高级功能显著增加成本。
• 中国区域功能受限：AWS 中国区域（北京、宁夏）的安全服务覆盖少于全球区域，Macie、Detective 等部分服务暂不可用。

适用场景

• AWS 原生生态用户（★★★★★）：已部署 AWS 工作负载的企业，首选原生安全服务体系可获得最深度的集成和最低的延迟开销。
• 合规要求严格的行业（★★★★★）：金融、医疗、政务等高合规行业，借助 Security Hub 自动合规检查和 KMS/Cloud HSM 满足 PCI DSS、HIPAA、GDPR 等认证。
• 多云安全架构（★★★★）：通过 Security Hub 集成第三方安全工具实现统一监控，适合采用 AWS 为主云、搭配其他云或多个 安全服务商的混合架构。
• 初创与中小团队（★★★★）：从 GuardDuty（基础威胁检测 $1+/月）、WAF（按规则计费）和 Inspector（免费配额 15 天试用）起步，以低成本获得核心安全防护。

价格参考

注：以上为美东区域按需价格，预留容量和商务折扣可降低实际成本。中国区域价格不同。

常见问题

• AWS Security 和第三方安全工具怎么选？ 如果已深度使用 AWS 生态，首选原生服务以获得最佳集成和最低延迟。如需跨云统一管理或需要特定专长（如 WAF 自定义规则、EDR 端点检测），可搭配第三方安全服务商，安全架构参考 网站安全最佳实践。

• GuardDuty 和 Security Hub 的区别是什么？ GuardDuty 是威胁检测引擎，负责发现异常行为；Security Hub 是安全发现聚合与合规中心，收集 GuardDuty、Inspector、Macie 等源的安全发现并统一展示。两者常配合使用，威胁检测参考 网络安全威胁态势。

• AWS Shield Advanced 的 3,000 美元月费值得吗？ 对于面向互联网的关键业务系统，Shield Advanced 的 24×7 DDoS 应急响应和费用保护可以显著降低被大流量攻击时的财务风险。非关键系统或小流量站点的 Shield Standard（免费）通常已足够，防护配置参考 Web 应用防火墙指南。

• Macie 会误报吗？ Macie 使用 ML 模型识别敏感数据，存在一定的误报率。建议先在小范围 S3 桶试用，验证识别准确率后调整自定义识别规则再推广到全账户，数据安全参考 数据加密与 TLS 配置。

• AWS Security 适合国内合规场景吗？ 中国区域的安全服务品类少于全球区域，建议结合国内安全服务商（如安恒、绿盟）进行补充。合规类需求建议咨询 AWS 中国团队的合规方案，合规清单参考 GDPR 合规清单。