Các phương pháp hay nhất về bảo mật cho AWS Backup

AWS cung cấp nhiều sản phẩm dựa trên đám mây dành cho tính toán, lưu trữ, phân tích, v.v. Trong số đó, có hai sản phẩm thường được các tổ chức sử dụng cho mục đích lưu trữ sao lưu: Amazon S3 dành cho lưu trữ đối tượng trên đám mây và Amazon Elastic Block Store (EBS) dành cho việc lưu trữ các khối lượng EC2 cùng các bản sao lưu của chúng.

Các nền tảng lưu trữ đám mây là lựa chọn lý tưởng để triển khai phương pháp bảo vệ dữ liệu 3-2-1. AWS cũng là sự lựa chọn tuyệt vời cho cả tài nguyên lưu trữ và tính toán, vì nền tảng này mang lại tính sẵn sàng và khả năng phục hồi vượt trội nhờ cơ chế dự phòng địa lý trên các khu vực địa lý khác nhau. Bạn không cần lo lắng về việc thảm họa xảy ra tại khu vực của mình và làm ảnh hưởng đến trung tâm dữ liệu; các bản sao dữ liệu của bạn được phân tán khắp toàn cầu.

Tuy nhiên, với sự phát triển nhanh chóng của các mối đe dọa mạng mới, điều quan trọng là bạn cần hiểu cách triển khai các phương pháp bảo mật tốt nhất của AWS cho việc sao lưu trên đám mây nhằm giảm thiểu rủi ro tiềm ẩn đối với tổ chức của bạn, bởi phần lớn các sự cố bảo mật trên đám mây xảy ra do lỗi của khách hàng, chứ không phải do nhà cung cấp dịch vụ đám mây. Hãy đọc bài viết này để tìm hiểu thêm về tất cả các tùy chọn bảo mật cho các sản phẩm lưu trữ AWS khác nhau và cách tận dụng chúng.

NAKIVO cho sao lưu AWS EC2

Sao lưu các phiên bản Amazon EC2 lên EC2, AWS S3 và tại chỗ. Các tùy chọn chống phần mềm tống tiền. Khôi phục nhanh các phiên bản và đối tượng ứng dụng.

KHÁM PHÁ GIẢI PHÁP

Mô hình trách nhiệm chung của AWS

Dù bạn sử dụng các tùy chọn lưu trữ đám mây của AWS hay di chuyển toàn bộ hạ tầng sang Amazon EC2, bạn cần nắm rõ mô hình trách nhiệm chung của AWS để hiểu ai là người chịu trách nhiệm về bảo mật sao lưu trên AWS. Một phần trách nhiệm thuộc về nhà cung cấp dịch vụ đám mây, đặc biệt là về bảo mật và tính sẵn sàng của nền tảng đám mây. Tuy nhiên, việc bảo vệ trước nhiều mối đe dọa khác đối với khối lượng công việc và dữ liệu của bạn vẫn thuộc trách nhiệm của bạn, tức là khách hàng.

Giống như hầu hết các nhà cung cấp dịch vụ đám mây khác, trách nhiệm về bảo mật dữ liệu được chia sẻ giữa AWS và khách hàng sử dụng dịch vụ đám mây. Với tư cách là nhà cung cấp dịch vụ đám mây, Amazon chịu trách nhiệm về bảo mật cơ sở hạ tầng AWS. Bảo mật nền tảng là yếu tố then chốt để bảo vệ dữ liệu và ứng dụng quan trọng của khách hàng. AWS phát hiện các trường hợp gian lận và lạm dụng, đồng thời thông báo cho khách hàng về các sự cố này.

Trong khi đó, khách hàng chịu trách nhiệm về các cấu hình bảo mật của các sản phẩm mà họ sử dụng trên AWS. Họ phải đảm bảo rằng quyền truy cập vào dữ liệu nhạy cảm từ bên trong hoặc bên ngoài tổ chức được hạn chế đúng cách và áp dụng các chính sách bảo vệ dữ liệu được khuyến nghị.

Các tùy chọn lưu trữ sao lưu AWS

AWS cung cấp 2 nền tảng đám mây chính: Amazon S3 và Amazon EC2 dành cho các trường hợp sử dụng khác nhau. Sản phẩm tính toán Amazon EC2 dựa trên nền tảng lưu trữ Elastic Block Store (EBS).

• Amazon Simple Storage Service hoặc Amazon S3 là nền tảng lưu trữ đối tượng được thiết kế để lưu trữ dữ liệu từ bất kỳ nguồn nào – ví dụ như ứng dụng web hoặc di động, trang web, hoặc dữ liệu từ các cảm biến IoT (Internet of Things). Đây cũng là một lựa chọn rất phổ biến làm đích lưu trữ cho các bản sao lưu và bản sao dự phòng của máy ảo và các phiên bản Amazon EC2.

• Amazon Elastic Block Store (EBS) được Amazon thiết kế để cung cấp các khối lưu trữ khối bền vững cho các khối lượng công việc trên Amazon Elastic Cloud (Amazon EC2).

Hai tùy chọn lưu trữ sao lưu này thường có thể được kết hợp trong một chiến lược sao lưu cho các phiên bản Amazon EC2: Bạn có thể gửi bản sao lưu của các instance đến Amazon EBS và tạo một bản sao lưu để lưu trữ trên Amazon S3 nhằm tăng cường độ tin cậy.

Các thực hành tốt nhất về bảo mật đám mây AWS cho việc sao lưu

Mặc dù có rất nhiều dịch vụ AWS, nhưng các dịch vụ chính bao gồm Elastic Compute Cloud (EC2), Amazon S3 và Amazon Virtual Private Cloud (VPC) – một đám mây riêng biệt được lưu trữ trong môi trường đám mây công cộng.

Như đã đề cập, Mô hình Trách nhiệm Chung quy định khách hàng phải chịu trách nhiệm hoàn toàn trong việc cấu hình các biện pháp kiểm soát bảo mật. Để đảm bảo dữ liệu của bạn trên AWS luôn nguyên vẹn và được bảo vệ, hãy tuân thủ các thực hành tốt nhất trong 5 lĩnh vực chính:

• Giám sát bảo mật
• Bảo mật tài khoản
• Cấu hình bảo mật
• Quản lý các thực thể không hoạt động
• Hạn chế quyền truy cập

Cũng nên xem xét áp dụng các thực hành tốt nhất về bảo mật AWS cho từng dịch vụ Amazon cụ thể:

• Amazon S3
• Amazon EC2
• Amazon VPC

Giám sát bảo mật

Giám sát bảo mật là một trong những thực hành bảo mật tốt nhất của AWS vì nó cho phép bạn phát hiện các sự kiện đáng ngờ kịp thời và chủ động khắc phục các vấn đề liên quan đến bảo vệ dữ liệu.

1. Kích hoạt CloudTrail. Dịch vụ CloudTrail tạo nhật ký cho tất cả các dịch vụ web của Amazon, bao gồm cả những dịch vụ không phụ thuộc vào khu vực, chẳng hạn như IAM, CloudFront, v.v.
2. Sử dụng tính năng xác thực tệp nhật ký CloudTrail. Tính năng này đóng vai trò như một lớp bảo vệ bổ sung cho tính toàn vẹn của các tệp nhật ký. Khi tính năng xác thực tệp nhật ký được bật, mọi thay đổi được thực hiện đối với tệp nhật ký sau khi được chuyển đến thùng Amazon S3 đều có thể được theo dõi.
3. Kích hoạt tính năng ghi nhật ký đa khu vực của CloudTrail. CloudTrail cung cấp lịch sử các cuộc gọi API của AWS, cho phép các nhà phân tích bảo mật theo dõi các thay đổi trong môi trường AWS, kiểm tra tuân thủ, điều tra các sự cố và đảm bảo rằng các thực hành bảo mật tốt nhất trên AWS được tuân thủ. Bằng cách kích hoạt CloudTrail trên tất cả các khu vực, các tổ chức có thể phát hiện các hoạt động bất thường hoặc đáng ngờ ngay cả ở những khu vực không được sử dụng.
4. Tích hợp dịch vụ CloudTrail với CloudWatch. Thành phần CloudWatch cung cấp khả năng giám sát liên tục các tệp nhật ký từ các phiên bản EC2, CloudTrail và các nguồn khác. CloudWatch cũng có thể thu thập và theo dõi các chỉ số để giúp bạn phát hiện các mối đe dọa một cách nhanh chóng. Sự tích hợp này hỗ trợ việc ghi nhật ký hoạt động theo thời gian thực và lịch sử liên quan đến người dùng, API, tài nguyên và địa chỉ IP. Bạn có thể thiết lập cảnh báo và thông báo cho các hoạt động bất thường hoặc đáng ngờ trên tài khoản.
5. Kích hoạt ghi nhật ký truy cập cho các bucket S3 của CloudTrail. Tính năng này được thiết kế để ngăn chặn kẻ tấn công xâm nhập sâu hơn vào các bucket S3 của CloudTrail. Các nhật ký này chứa dữ liệu nhật ký được CloudTrail thu thập, được sử dụng để giám sát hoạt động và điều tra sự cố. Hãy duy trì tính năng ghi nhật ký truy cập cho các bucket S3 của CloudTrail ở trạng thái bật. Điều này cho phép bạn theo dõi các yêu cầu truy cập và phát hiện nhanh chóng các nỗ lực truy cập trái phép.
6. Kích hoạt tính năng ghi nhật ký truy cập cho Elastic Load Balancer (ELB). Việc kích hoạt tính năng ghi nhật ký truy cập ELB cho phép ELB ghi lại và lưu trữ thông tin về từng yêu cầu TCP hoặc HTTP. Dữ liệu này có thể cực kỳ hữu ích cho các chuyên gia bảo mật và khắc phục sự cố. Ví dụ, dữ liệu ghi nhật ký ELB của bạn có thể hữu ích khi phân tích các mẫu lưu lượng có thể là dấu hiệu của một số loại tấn công nhất định.
7. Kích hoạt tính năng ghi nhật ký kiểm toán Redshift. Amazon Redshift là một dịch vụ của AWS ghi lại chi tiết về các hoạt động của người dùng, chẳng hạn như các truy vấn và kết nối được thực hiện trong cơ sở dữ liệu. Bằng cách kích hoạt Redshift, bạn có thể thực hiện kiểm toán và hỗ trợ các cuộc điều tra pháp y sau sự cố cho một cơ sở dữ liệu cụ thể.
8. Kích hoạt tính năng ghi nhật ký lưu lượng Virtual Private Cloud (VPC). Ghi nhật ký lưu lượng VPC là một dịch vụ giám sát mạng giúp cung cấp khả năng hiển thị lưu lượng mạng VPC. Tính năng này có thể được sử dụng để phát hiện lưu lượng bất thường hoặc đáng ngờ, cung cấp thông tin chi tiết về bảo mật và cảnh báo bạn về bất kỳ hoạt động bất thường nào. Việc kích hoạt VPC cho phép bạn xác định các vấn đề về bảo mật và quyền truy cập, chẳng hạn như khối lượng truyền dữ liệu bất thường, các yêu cầu kết nối bị từ chối, các nhóm bảo mật hoặc Danh sách Kiểm soát Truy cập Mạng (ACL) quá thoáng, v.v.

Các phương pháp hay nhất về bảo mật tài khoản AWS

Việc bảo vệ tài khoản người dùng là rất quan trọng để đảm bảo rằng chúng không thể dễ dàng bị xâm phạm. Để làm điều này, hãy tuân theo các phương pháp hay nhất về bảo mật tài khoản AWS dưới đây:

1. Xác thực đa yếu tố (MFA) khi xóa các bucket S3 chứa nhật ký CloudTrail. Nếu tài khoản AWS của bạn bị xâm nhập, bước đầu tiên mà kẻ tấn công có thể thực hiện là xóa các nhật ký CloudTrail để che giấu hành vi xâm nhập và trì hoãn việc phát hiện. Việc thiết lập MFA cho thao tác xóa các bucket S3 chứa nhật ký CloudTrail sẽ khiến việc xóa nhật ký trở nên khó khăn hơn nhiều đối với hacker, từ đó giảm khả năng chúng thực hiện hành vi mà không bị phát hiện.
2. Xác thực hai yếu tố (MFA) cho tài khoản root. Tài khoản người dùng đầu tiên được tạo khi đăng ký AWS được gọi là tài khoản root. Tài khoản root là loại người dùng có quyền truy cập cao nhất, có quyền truy cập vào mọi tài nguyên AWS. Đây là lý do tại sao bạn nên kích hoạt MFA cho tài khoản root càng sớm càng tốt. Một trong những thực hành bảo mật tốt nhất của AWS cho MFA của tài khoản root là tránh lưu thông tin đăng nhập trên thiết bị cá nhân của người dùng. Để thực hiện điều này, bạn nên sử dụng một thiết bị di động chuyên dụng và lưu trữ nó tại một địa điểm từ xa. Điều này tạo thêm một lớp bảo vệ và đảm bảo rằng tài khoản root luôn có thể truy cập được, bất kể thiết bị cá nhân của ai bị mất hoặc hỏng.
3. MFA cho người dùng IAM. Nếu tài khoản của bạn bị xâm phạm, MFA sẽ trở thành hàng phòng thủ cuối cùng. Tất cả người dùng có mật khẩu bảng điều khiển cho dịch vụ Quản lý Danh tính và Quyền truy cập (IAM) đều phải thực hiện xác thực đa yếu tố (MFA).
4. Truy cập đa chế độ cho người dùng IAM. Việc kích hoạt truy cập đa chế độ cho người dùng IAM cho phép bạn chia người dùng thành hai nhóm: người dùng ứng dụng có quyền truy cập API và quản trị viên có quyền truy cập bảng điều khiển. Điều này giúp giảm thiểu rủi ro truy cập trái phép nếu thông tin đăng nhập của người dùng IAM (khóa truy cập hoặc mật khẩu) bị xâm phạm.
5. Chính sách IAM được gán cho nhóm hoặc vai trò. Không nên gán chính sách và quyền trực tiếp cho người dùng. Thay vào đó, hãy cấp quyền cho người dùng ở cấp độ nhóm và vai trò. Cách tiếp cận này giúp việc quản lý quyền trở nên đơn giản và thuận tiện hơn. Bạn cũng giảm thiểu rủi ro một người dùng cá nhân vô tình nhận được quá nhiều quyền hoặc đặc quyền.
6. Luân chuyển cặp khóa truy cập IAM định kỳ. Bạn luân chuyển các cặp khóa truy cập càng thường xuyên, khả năng dữ liệu của bạn bị truy cập trái phép do khóa bị mất hoặc bị đánh cắp càng thấp.
7. Chính sách mật khẩu nghiêm ngặt. Không có gì ngạc nhiên khi người dùng có xu hướng tạo ra những mật khẩu quá đơn giản. Điều này là do họ muốn một mật khẩu dễ nhớ. Tuy nhiên, những mật khẩu như vậy thường cũng dễ bị người khác đoán ra. Việc triển khai và duy trì một chính sách mật khẩu nghiêm ngặt là một trong những phương pháp hay nhất về bảo mật của AWS nhằm bảo vệ tài khoản khỏi các nỗ lực đăng nhập bằng phương pháp dò mật khẩu (brute force). Các chi tiết cụ thể của chính sách có thể khác nhau, nhưng bạn nên yêu cầu mật khẩu phải chứa ít nhất một chữ cái viết hoa, một chữ cái viết thường, một số, một ký tự đặc biệt và có độ dài tối thiểu là 14 ký tự.

Cấu hình các thực hành bảo mật tốt nhất trên AWS

Cấu hình các tùy chọn bảo mật để bảo vệ dữ liệu của bạn trên AWS, bao gồm cả bản sao lưu.

1. Hạn chế quyền truy cập vào các bucket S3 của CloudTrail. Không cho phép bất kỳ người dùng hoặc tài khoản quản trị viên nào truy cập vào nhật ký CloudTrail. Lý do cơ bản cho điều này là họ luôn có nguy cơ bị tấn công lừa đảo. Chỉ cấp quyền truy cập cho những người thực sự cần tính năng này để thực hiện công việc. Nhờ đó, bạn sẽ giảm thiểu khả năng xảy ra các truy cập không cần thiết.
2. Mã hóa các tệp nhật ký CloudTrail . Có hai yêu cầu để giải mã các tệp nhật ký CloudTrail khi đang lưu trữ. Thứ nhất, quyền giải mã phải được cấp thông qua chính sách Khách hàng Master Keys. Thứ hai, quyền truy cập vào các thùng S3 của Amazon phải được cấp. Chỉ những người dùng có nhiệm vụ công việc liên quan mới nên được cấp cả hai quyền này.
3. Mã hóa cơ sở dữ liệu EBS. Đảm bảo cơ sở dữ liệu EBS được mã hóa sẽ cung cấp một lớp bảo vệ bổ sung. Lưu ý rằng việc này chỉ có thể thực hiện tại thời điểm tạo khối lượng EBS – không thể kích hoạt mã hóa sau này. Do đó, nếu có bất kỳ khối lượng nào chưa được mã hóa, bạn phải tạo các khối lượng mã hóa mới và chuyển dữ liệu từ các khối lượng chưa được mã hóa sang.
4. Giảm phạm vi các cổng mở cho các nhóm bảo mật EC2. Phạm vi cổng mở quá rộng sẽ tạo ra nhiều lỗ hổng hơn cho những kẻ tấn công sử dụng quét cổng.
5. Cấu hình các nhóm bảo mật EC2 để hạn chế quyền truy cập. Nên tránh cấp quá nhiều quyền truy cập vào các instance EC2. Không bao giờ cho phép các dải IP rộng truy cập vào các instance EC2. Thay vào đó, hãy cụ thể và chỉ bao gồm các địa chỉ IP chính xác trong danh sách truy cập của bạn. Theo dõi Các phương pháp hay nhất về nhóm bảo mật AWS.
6. Tránh sử dụng tài khoản người dùng root. Khi bạn đăng ký tài khoản AWS, địa chỉ email và mật khẩu bạn sử dụng sẽ tự động trở thành tài khoản người dùng root. Người dùng root là người dùng có đặc quyền cao nhất trong hệ thống, có quyền truy cập vào tất cả các dịch vụ và tài nguyên trong tài khoản AWS của bạn mà không có ngoại lệ. Thực tiễn tốt nhất là chỉ sử dụng tài khoản này một lần duy nhất khi tạo người dùng IAM đầu tiên. Sau đó, bạn nên lưu trữ thông tin đăng nhập của tài khoản root ở một nơi an toàn, được bảo vệ khỏi sự truy cập của bất kỳ ai.
7. Sử dụng các phiên bản SSL và bộ mã hóa an toàn. Khi thiết lập kết nối giữa máy khách và hệ thống Elastic Load Balancing (ELB), hãy tránh sử dụng các phiên bản SSL đã lỗi thời hoặc các bộ mã hóa đã bị loại bỏ. Những yếu tố này có thể tạo ra kết nối không an toàn giữa máy khách và bộ cân bằng tải.
8. Mã hóa Amazon Relational Database Service (RDS). Việc mã hóa Amazon RDS tạo ra một lớp bảo vệ bổ sung. Bạn nên sử dụng Các phương pháp hay nhất về bảo mật AWS RDS.
9. Tránh sử dụng khóa truy cập với tài khoản root. Tạo các tài khoản dựa trên vai trò với quyền hạn và khóa truy cập bị giới hạn. Không bao giờ sử dụng khóa truy cập với tài khoản root vì điều này chắc chắn sẽ khiến tài khoản dễ bị xâm phạm.
10. Luân phiên khóa SSH định kỳ. Luân phiên khóa SSH định kỳ. Thực hành bảo mật AWS tốt nhất này giúp giảm thiểu rủi ro liên quan đến việc nhân viên vô tình chia sẻ khóa SSH, dù là do lỗi hay sơ suất.
11. Giảm thiểu số lượng nhóm bảo mật riêng biệt. Các tổ chức nên giữ số lượng nhóm bảo mật riêng biệt ở mức thấp nhất có thể. Điều này giúp giảm rủi ro cấu hình sai, có thể dẫn đến việc tài khoản bị xâm phạm và là một trong những thực hành tốt nhất về nhóm bảo mật AWS.

Quản lý các thực thể không hoạt động

Việc quản lý và xóa các thực thể không hoạt động là rất quan trọng vì các thực thể này có thể bị bên thứ ba lợi dụng để truy cập trái phép.

1. Giảm thiểu số lượng nhóm IAM . Việc xóa các nhóm IAM không sử dụng hoặc đã lỗi thời sẽ giảm thiểu rủi ro vô tình tạo ra các thực thể mới với cấu hình bảo mật cũ.
2. Hủy bỏ các khóa truy cập không sử dụng . Các nguyên tắc bảo mật tốt nhất của AWS quy định rằng các khóa truy cập không được sử dụng trong hơn 30 ngày nên được hủy bỏ. Việc giữ lại các khóa truy cập không sử dụng trong thời gian dài chắc chắn sẽ làm tăng nguy cơ tài khoản bị xâm phạm hoặc mối đe dọa từ bên trong.
3. Vô hiệu hóa quyền truy cập cho người dùng IAM không hoạt động. Tương tự, bạn nên vô hiệu hóa tài khoản của những người dùng IAM đã không đăng nhập trong hơn 90 ngày. Điều này giúp giảm khả năng tài khoản bị bỏ rơi hoặc không sử dụng bị xâm phạm.
4. Xóa các khóa công khai SSH không sử dụng. Xóa các khóa công khai SSH không sử dụng để giảm nguy cơ truy cập trái phép qua SSH từ các vị trí không được kiểm soát.

Hạn chế quyền truy cập

Hạn chế quyền truy cập là một trong những thực hành bảo mật tốt nhất của AWS, giúp bạn giảm thiểu nguy cơ dữ liệu lưu trữ trên AWS bị xâm phạm và nâng cao mức độ bảo mật.

1. Hạn chế quyền truy cập vào các hình ảnh máy ảo Amazon (AMIs). Việc cho phép truy cập tự do vào các hình ảnh máy ảo Amazon (AMIs) của bạn sẽ khiến chúng xuất hiện trong kho AMIs cộng đồng. Tại đó, bất kỳ thành viên nào của Cộng đồng có tài khoản AWS đều có thể sử dụng chúng để khởi chạy các phiên bản EC2. AMI thường chứa các bản chụp nhanh (snapshot) của các ứng dụng dành riêng cho tổ chức kèm theo dữ liệu cấu hình và dữ liệu ứng dụng. Rất khuyến nghị nên hạn chế quyền truy cập vào AMI một cách cẩn thận.
2. Hạn chế quyền truy cập vào các cổng không phổ biến. Hạn chế quyền truy cập vào các cổng không phổ biến vì chúng có thể trở thành điểm yếu tiềm ẩn cho các hoạt động độc hại (ví dụ: tấn công brute-force, hack, tấn công DDoS, v.v.).
3. Hạn chế quyền truy cập vào các nhóm bảo mật EC2. Quyền truy cập vào các nhóm bảo mật EC2 nên được hạn chế. Điều này giúp ngăn chặn nguy cơ tiếp xúc với các hoạt động độc hại.
4. Hạn chế quyền truy cập vào các phiên bản RDS. Với quyền truy cập vào các phiên bản RDS, các thực thể trên internet có thể thiết lập kết nối với cơ sở dữ liệu của bạn. Quyền truy cập không bị hạn chế khiến tổ chức dễ bị tấn công bởi các hoạt động độc hại như tiêm SQL, tấn công dò mật khẩu hoặc hack.
5. Hạn chế quyền truy cập ra ngoài. Việc truy cập ra ngoài không bị hạn chế từ các cổng có thể khiến tổ chức phải đối mặt với các mối đe dọa mạng. Bạn chỉ nên cho phép truy cập đối với các thực thể được chỉ định – ví dụ: các cổng cụ thể hoặc các đích cụ thể.
6. Hạn chế quyền truy cập vào các cổng giao thức phổ biến. Quyền truy cập vào các cổng phổ biến phải được hạn chế. Nếu bạn không kiểm soát chúng, tổ chức của bạn sẽ đối mặt với nguy cơ truy cập dữ liệu trái phép – ví dụ như CIFS qua cổng 445, FTP qua cổng 20/21, MySQL qua cổng 3306, v.v.

Các phương pháp hay nhất về bảo mật AWS S3

Là một trong những loại lưu trữ đám mây phổ biến nhất để lưu trữ bản sao lưu, bạn nên tìm hiểu Cách thức hoạt động của Amazon S3 và tuân thủ các phương pháp hay nhất về bảo mật AWS S3.

1. Kích hoạt tính năng quản lý phiên bản. Tính năng phiên bản được sử dụng để lưu giữ nhiều phiên bản của một đối tượng trong một thùng S3 sau khi ghi các thay đổi vào đối tượng đó. Nếu có những thay đổi không mong muốn xảy ra với các đối tượng trong thùng, bạn có thể khôi phục bất kỳ phiên bản đối tượng nào trước đó.
2. Sử dụng lưu trữ không thể thay đổi (WORM). Amazon S3 hỗ trợ mô hình ghi một lần – đọc nhiều lần (WORM) để truy cập dữ liệu trong các bucket S3. Phương pháp này giúp bảo vệ dữ liệu khỏi việc bị xóa do vô tình từ người dùng hoặc cố ý bởi ransomware hoặc phần mềm độc hại khác. Lưu trữ bản sao lưu trong lưu trữ không thể thay đổi sẽ cải thiện đáng kể bảo mật sao lưu AWS.
3. Chặn quyền truy cập công khai vào các bucket Amazon S3. Chặn quyền truy cập công khai vào các bucket S3 để tránh việc truy cập trái phép vào dữ liệu, bao gồm cả các bản sao lưu bạn lưu trữ trong AWS S3. Bạn có thể cấu hình tùy chọn này ở cấp tài khoản và cho từng bucket riêng lẻ.

Các thực hành bảo mật tốt nhất cho AWS EC2

Các phiên bản AWS EC2 khác nhau với các khối lượng EBS là một cách khác để lưu trữ bản sao lưu trên đám mây Amazon. Hãy xem xét các thực hành bảo mật tốt nhất cho AWS EC2 này để bảo vệ các bản sao lưu được tạo trên đám mây AWS EC2.

1. Bảo vệ cặp khóa truy cập. Bảo vệ cặp khóa (khóa công khai và khóa riêng tư, là thông tin xác thực trong AWS EC2) được tạo ra để truy cập các instance Amazon EC2. Bất kỳ ai có quyền truy cập vào các thông tin xác thực này và biết ID instance đều có thể truy cập vào instance và dữ liệu chứa trong đó. Cũng lưu ý rằng bạn chỉ có thể tải xuống khóa này một lần duy nhất khi tạo instance EC2, và bạn không có bản sao của khóa riêng tư trên AWS. Sau khi tải xuống, khóa này nên được lưu trữ ở nơi an toàn.
2. Cài đặt các bản cập nhật. Cài đặt các bản cập nhật bảo mật và cập nhật trình điều khiển trong hệ điều hành khách như Windows đang chạy trên một instance Amazon EC2.
3. Sử dụng các khối lượng EBS riêng biệt. Khối lượng EBS là một đĩa ảo dành cho instance EC2 trên AWS. Hãy sử dụng các khối lượng EBS riêng biệt để chạy hệ điều hành và lưu trữ bản sao lưu. Đảm bảo rằng khối lượng EBS chứa dữ liệu sao lưu vẫn tồn tại sau khi instance EC2 bị ngừng hoạt động.
4. Cấu hình quyền truy cập tạm thời. Không nên đặt khóa bảo mật trong các instance EC2 hoặc AMI để cấp quyền truy cập tạm thời. Nếu cần cấp quyền truy cập tạm thời, hãy sử dụng thông tin đăng nhập tạm thời chỉ có hiệu lực trong thời gian ngắn. Sử dụng các vai trò instance.

Các nguyên tắc bảo mật tốt nhất cho AWS VPC

Amazon Virtual Private Cloud (VPC) là một môi trường đám mây mà bạn có thể cách ly bằng cấu hình mạng cụ thể. Môi trường được cách ly về mặt logic này (đám mây không công khai) trên AWS có thể được sử dụng để lưu trữ các bản sao lưu với mức độ bảo mật cao hơn.

Để bảo vệ các bản sao lưu được lưu trữ trong VPC, hãy tham khảo các thực hành tốt nhất về bảo mật AWS VPC được liệt kê dưới đây:

• Sử dụng nhiều vùng sẵn sàng (availability zones) để đảm bảo tính sẵn sàng cao khi thêm các mạng con (subnets) vào VPC.
• Sử dụng danh sách kiểm soát truy cập mạng (ACLs) để kiểm soát quyền truy cập vào các mạng con.
• Sử dụng nhóm bảo mật (security groups) để kiểm soát lưu lượng truy cập đến các instance EC2 trong các mạng con.
• Sử dụng nhật ký lưu lượng VC để xem các sự kiện được tạo ra trong VPC.
• Tách biệt các môi trường VPC của bạn như Dev, Test, Backup, v.v.

Các thực hành tốt nhất khác về bảo mật dữ liệu đám mây trên AWS

Có các thực hành bảo mật AWS khác có thể được triển khai cho nhiều danh mục cùng lúc:

1. Sử dụng phương pháp bảo mật thống nhất. Áp dụng phương pháp tiếp cận thống nhất cho bảo mật trên đám mây AWS và máy chủ tại chỗ. Các chính sách bảo mật khác nhau dành cho môi trường AWS và tại chỗ có thể gây ra lỗ hổng bảo mật ở một trong hai môi trường. Kết quả là, cả hai môi trường đều trở nên dễ bị tấn công do chúng được kết nối với nhau qua mạng.
2. Tự động hóa các tác vụ sao lưu. Sử dụng phần mềm bảo vệ dữ liệu chuyên dụng để sao lưu dữ liệu lên AWS tự động. Để đảm bảo bảo mật sao lưu AWS tốt nhất, hãy lên lịch sao lưu và các bản sao lưu để chạy định kỳ vào các thùng Amazon S3.

NAKIVO Backup & Replication là giải pháp toàn diện hỗ trợ Sao lưu/sao chép dữ liệu trên Amazon EC2 và sao lưu lên Amazon S3:

• Sao lưu tăng dần và nhất quán cho các instance Amazon EC2
• Nhiều tính năng tự động hóa với sao lưu/sao chép dựa trên chính sách, lập lịch nâng cao và chuỗi sao lưu để tạo các bản sao lưu tự động trên Amazon S3 từ các bản sao lưu chính thành công
• Tích hợp với S3 Object Lock để tạo các bản sao lưu không thể thay đổi và chống lại ransomware trong các bucket Amazon S3

Dùng thử NAKIVO Backup & Replication

Đăng ký dùng thử miễn phí để khám phá toàn bộ các tính năng bảo vệ dữ liệu của giải pháp này. 15 ngày miễn phí. Không có bất kỳ giới hạn nào về tính năng hay dung lượng. Không cần thẻ tín dụng.

Dùng thử miễn phí