NAKIVO > Blog > Cloud

AWS 備份安全性最佳實踐

Updated: 17 8 月, 2026

撰文:: NAKIVO 團隊

AWS 提供多項用於運算、儲存、分析等領域的雲端產品。其中有兩項產品常被企業用於備份儲存:用於雲端物件儲存的 Amazon S3,以及用於儲存 EC2 卷宗及其備份的 Amazon Elastic Block Store (EBS)。

雲端儲存平台是實施"3-2-1"資料保護策略的理想選擇。AWS 同時也是儲存與運算資源的絕佳選擇,因為它透過跨不同地理區域的地理冗餘機制,提供卓越的可用性與韌性。您無需擔心災難發生在您所在地區並危及資料中心;您的資料副本已分散於全球各地。

然而,隨著新型網路威脅迅速演變,了解如何實施 AWS 雲端備份的安全最佳實踐至關重要,藉此降低貴組織面臨的潛在風險;因為雲端中絕大多數的安全事件,都是源於客戶自身的疏失,而非雲端供應商的過失。閱讀這篇文章,進一步了解各種 AWS 儲存產品的完整安全選項,以及如何從中獲益。

NAKIVO 適用於 AWS EC2 備份

將 Amazon EC2 執行個體備份至 EC2、AWS S3 及本地端。具備防勒索軟體功能。可快速還原執行個體及應用程式物件。

探索解決方案

AWS 共同責任模式

無論是使用 AWS 雲端儲存方案,還是將整個基礎架構遷移至 Amazon EC2,您都應了解 AWS 共同責任模式,以釐清 AWS 備份安全性的責任歸屬。部分責任由雲端供應商承擔,特別是雲端平台的安全性與可用性。然而,針對工作負載與資料所面臨的許多其他威脅,其防護責任仍由您(即客戶)承擔。

與大多數雲端供應商的情況相同,資料安全責任由 AWS 與雲端客戶共同分擔。作為雲端供應商,Amazon 負責確保 AWS 基礎架構的安全性。平台的安全性對於保護客戶的重要資料和應用程式至關重要。AWS 會偵測詐欺和濫用行為,並將相關事件通知客戶。

與此同時,客戶須負責其在 AWS 中所使用產品的安全設定。客戶必須確保從組織內部或外部存取敏感資料的權限已受到適當限制,並遵循建議的資料保護政策。

AWS Backup 儲存選項

AWS 提供 2 種主要的雲平台: Amazon S3 與 Amazon EC2 的不同使用情境. Amazon EC2 運算產品仰賴 Elastic Block Store (EBS) 儲存平台。

亞馬遜簡易儲存服務 或 Amazon S3 這是一個物件儲存平台,專為儲存來自任何來源的資料而設計——例如,網頁或行動應用程式、網站,或是來自物聯網(IoT)感測器的資料。它同時也是用於儲存虛擬機器及 Amazon EC2 執行個體的備份與備份複製的極受歡迎的目標平台。

在安全性與合規性方面,S3 展現出強大的能力,足以滿足最嚴格的法規需求。Amazon S3 提供了一個簡單且便利的雲端儲存平台,用於實作資料保護的"3-2-1"方法,讓您能夠將重要資料的副本儲存於異地。

Amazon 彈性區塊儲存 (EBS) 此服務由亞馬遜設計,旨在為 Amazon EC2 中的工作負載提供持久性區塊儲存卷。

EBS 卷會自動在特定區域內的數個資料中心之間進行複製,這在 AWS 中稱為"可用區域"。這項技術可保護您的資料免受 Amazon 營運的資料中心發生故障的影響,從而確保極高的可用性(根據 Amazon 的說法,達到五個九)。EBS 卷讓您能夠以一致且低延遲的方式執行工作負載,使您能在數分鐘內縮放基礎架構的工作負載。

在 Amazon EC2 執行個體的備份策略中,這兩種備份儲存選項通常可以結合使用:您可以將執行個體的備份傳送至 Amazon EBS,並建立一份備份複製儲存於 Amazon S3,以提升可靠性。

AWS 雲端安全備份最佳實踐

雖然 AWS 服務種類繁多,但主要服務包括 Amazon EC2、Amazon S3,以及 Amazon Virtual Private Cloud (VPC)——這是一種託管於公有雲內的隔離式私有雲。

如前所述,"共同責任模式"規定客戶須全權負責配置安全控制措施。為確保您在 AWS 中的資料完整無損且受到保護,請遵循以下 5 個關鍵領域的最佳實踐:

安全監控
帳戶安全性
安全性設定
非活躍實體管理
存取限制

此外,也請考慮針對每項特定的 Amazon 服務,實施 AWS 安全最佳實踐:

Amazon S3
Amazon EC2
Amazon VPC

安全監控

安全監控是 AWS 安全最佳實踐之一,因為它能讓您及時偵測可疑事件,並主動解決與資料保護相關的問題。

啟用 CloudTrail。 CloudTrail 服務會為所有 Amazon Web Services 產生日誌,包括那些不特定於特定區域的服務,例如 IAM、CloudFront 等。
使用 CloudTrail 日誌檔案驗證功能。 此特點可為日誌檔案的完整性提供額外的保護層。啟用日誌檔案驗證功能後,日誌檔案傳送至 Amazon S3 儲存桶後所做的任何變更皆可追溯。
啟用 CloudTrail 多區域記錄功能。 CloudTrail 提供 AWS API 呼叫記錄,讓資安分析師能夠追蹤 AWS 環境中的變更、進行合規性稽核、調查事件,並確保遵循 AWS 的資安最佳實踐。透過在所有區域啟用 CloudTrail,組織便能偵測到在未被使用的區域中發生的意外或可疑活動。
將 CloudTrail 服務與 CloudWatch 整合。 CloudWatch 元件可持續監控來自 EC2 執行個體、CloudTrail 及其他來源的日誌檔案。CloudWatch 還能收集並追蹤指標,協助您快速偵測威脅。此整合功能可針對使用者、API、資源及 IP 位址,進行即時與歷史活動記錄。您可以針對異常或可疑的帳戶活動設定警報與通知。
啟用 CloudTrail S3 儲存桶的存取記錄功能。 此特點旨在防止攻擊者更深入地入侵 CloudTrail S3 儲存桶。這些日誌包含由 CloudTrail 擷取的日誌資料,用於監控活動及進行事件調查。請保持 CloudTrail S3 儲存桶的存取日誌記錄功能啟用。如此一來,您便能追蹤存取請求,並迅速偵測未經授權的存取嘗試。
啟用 Elastic Load Balancer (ELB) 的存取記錄功能。 啟用 ELB 存取記錄功能後,ELB 便能記錄並儲存每個 TCP 或 HTTP 請求的相關資訊。這些資料對資安與疑難排解專業人員而言極具價值。舉例來說,當您分析可能預示特定類型攻擊的流量模式時,ELB 記錄資料便能派上用場。
啟用 Redshift 稽核記錄。 Amazon Redshift 是一項 AWS 服務,會記錄使用者活動的詳細資訊,例如在資料庫中執行的查詢和連線。透過啟用 Redshift,您可以針對特定資料庫執行稽核,並支援事件發生後的鑑識調查。
啟用虛擬私有雲 (VPC) 流量記錄。 VPC 流量記錄是一項網路監控服務,可提供 VPC 網路流量的可視性。此特點可用於偵測異常或可疑的流量、提供安全洞察,並在偵測到任何異常活動時向您發出警示。啟用 VPC 後,您將能夠識別各項安全與存取問題,例如異常龐大的資料傳輸量、遭拒絕的連線請求、權限過於寬鬆的安全群組或網路存取控制清單 (ACL) 等。

AWS 帳戶安全性最佳實踐

保護使用者帳戶至關重要,以確保其不會輕易遭到入侵。為此,請遵循以下 AWS 帳戶安全最佳實踐:

刪除 CloudTrail S3 儲存桶時的多因素驗證 (MFA)。 若您的 AWS 帳戶遭到入侵,攻擊者最可能採取的第一步就是刪除 CloudTrail 日誌,以掩蓋入侵痕跡並延遲偵測。針對包含 CloudTrail 日誌的 S3 儲存桶設定多因素驗證 (MFA),將使駭客更難刪除日誌,從而降低其未被察覺的機率。
root 帳戶的 MFA。 註冊 AWS 時所建立的第一個使用者帳戶稱為"根帳戶"。根帳戶是權限最高的使用者類型,可存取所有 AWS 資源。因此,您應盡快為根帳戶啟用多因素驗證 (MFA)。關於 root 帳戶的多因素驗證,AWS 安全最佳實踐之一是避免將憑證儲存在使用者的個人裝置上。為此,您應準備一台專用的行動裝置,並將其存放於遠端位置。此舉可增添一層額外的保護,並確保無論誰的個人裝置遺失或損壞,都能隨時存取 root 帳戶。
IAM 用戶的 MFA。 若您的帳戶遭到入侵,多因素驗證(MFA)將成為最後一道防線。所有持有身分與存取管理(IAM)服務主控台密碼的使用者,均應被要求進行多因素驗證。
IAM 用戶的多模式存取。 為 IAM 使用者啟用多模式存取功能,可讓您將使用者分為兩組:具備 API 存取權限的應用程式使用者,以及具備控制台存取權限的管理員。此舉能降低 IAM 使用者憑證(存取金鑰或密碼)遭洩露時,發生未經授權存取的風險。
指派給群組或角色的 IAM 政策。 請勿直接將政策和權限指派給使用者。相反地,應在群組和角色層級為使用者配置權限。此方法能讓權限管理更簡便、更輕鬆。此外,也能降低個別使用者意外獲得過多權限或特權的風險。
定期輪替 IAM 存取金鑰。 您越頻繁地輪替存取金鑰對,因金鑰遺失或遭竊而導致資料遭未經授權存取的風險就越低。
嚴格的密碼政策。 毫不意外地,使用者往往會設定過於簡單的密碼。這是因為他們希望密碼容易記住。然而,這類密碼通常也容易被他人猜中。實施並維持嚴格的密碼政策,是 AWS 另一項用於保護帳戶免受暴力破解登入攻擊的安全最佳實踐。雖然具體政策細節可能有所不同,但您應要求密碼至少包含一個大寫字母、一個小寫字母、一個數字、一個特殊符號,且長度至少為 14 個字元。

使用者往往會在多個服務中使用相同的密碼,這會使系統安全面臨極高風險。因此,您應設定 IAM 密碼政策,以記錄每位使用者過去 24 組密碼,並禁止重複使用密碼。請啟用密碼過期機制,但將密碼有效期設定為至少 90 天。若強制使用者過於頻繁地變更密碼,將帶來新的風險(例如憑證遭攔截或網路釣魚)。

在 AWS 中設定安全性最佳實踐

設定安全性選項,以保護您在 AWS 中的資料,包括備份。

限制對 CloudTrail S3 儲存桶的存取權限。 請勿為任何使用者或管理員帳戶啟用對 CloudTrail 日誌的存取權限。其背後的原因在於,這些帳戶始終面臨遭受網路釣魚攻擊的風險。請僅限於因工作需要此特點的人員才能存取。如此一來,即可降低不必要存取的機率。
加密 CloudTrail 日誌檔案. 要解密靜態儲存的 CloudTrail 日誌檔案,需滿足兩項需求。首先,必須透過"客戶主金鑰"政策安排解密權限。其次,必須授予存取 Amazon S3 儲存桶的權限。僅有因工作需要而應具備相關職責的使用者,才應獲得這兩項權限。
對 EBS 資料庫進行加密。 確保 EBS 資料庫已加密,可提供額外的一層保護。請注意,此操作僅能在建立 EBS 卷時進行——無法在事後啟用加密功能。因此,若存在任何未加密的卷,您必須建立新的加密卷,並將資料從未加密的卷中遷移至新卷。
縮小 EC2 安全群組中開放埠口的範圍。 大量開放的埠會讓系統暴露更多漏洞,使攻擊者得以利用埠掃描進行攻擊。
設定 EC2 安全群組以限制存取權限。 應避免授予過多的 EC2 執行個體存取權限。切勿允許大型 IP 範圍存取 EC2 執行個體。相反地,應具體指定,並僅在存取清單中包含確切的 IP 位址。請遵循 AWS 安全群組的最佳實踐.
避免使用 root 使用者帳戶。 當您註冊 AWS 帳戶時,您所使用的 email 和密碼會自動成為 root使用者帳戶。root使用者是系統中權限最高的使用者,可無例外地存取您 AWS 帳戶中的所有服務和資源。最佳實踐是僅在建立第一個 IAM 使用者時使用此帳戶一次。此後,您應將 root使用者的憑證存放在安全的地方,並確保任何人皆無法存取。
使用安全的 SSL 版本與加密演算法。 在建立客戶端與 Elastic Load Balancing (ELB) 系統之間的連線時,請避免使用過時的 SSL 版本或已廢棄的加密套件。這些可能會導致客戶端與負載平衡器之間的連線不安全。
Amazon 關聯式資料庫服務 (RDS) 的加密功能。 對 Amazon RDS 進行加密可建立額外的保護層。建議您使用 AWS RDS 安全性最佳實踐.
避免在 root 帳戶中使用存取金鑰。 請建立具有有限權限及存取金鑰的基於角色的帳戶。切勿將存取金鑰與 root 帳戶搭配使用,因為這無疑會使帳戶面臨遭入侵的風險。
定期輪替 SSH 金鑰。 定期輪替 SSH 金鑰。這項 AWS 安全最佳實踐,可降低員工因誤操作或疏忽而意外分享 SSH 金鑰所帶來的風險。
將獨立安全群組的數量降至最低。 組織應盡可能減少獨立安全群組的數量。此舉可降低配置錯誤的風險,避免帳戶遭入侵,這也是 AWS 安全群組的最佳實踐之一。

非活躍實體管理

管理及刪除非活躍實體至關重要,因為此類實體可能被第三方用於未經授權的存取。

將 IAM 群組的數量減至最少. 刪除未使用或過期的 IAM 群組,可降低因誤用舊版安全性設定而意外為新實體進行資源配置的風險。
終止未使用的存取金鑰. 根據 AWS 安全最佳實踐,若存取金鑰超過 30 天未被使用,應予以終止。若長期保留未使用的存取金鑰,勢必會增加帳戶遭入侵或內部威脅的風險。
停用非活躍 IAM 使用者的存取權限。 同樣地,您應停用超過 90 天未登入的 IAM 使用者帳戶。此舉可降低遭棄置或閒置帳戶遭入侵的風險。
刪除未使用的 SSH 公鑰。 刪除未使用的 SSH 公鑰,以降低從未受限制的位置透過 SSH 進行未經授權存取的風險。

存取限制

限制存取權限是 AWS 安全最佳實踐的一項措施,可協助您將 AWS 中儲存的資料遭洩露的機率降至最低,並提升安全性。

限制對 Amazon 機器映像 (AMI) 的存取權限。 若將您的 Amazon 機器映像 (AMI) 設為免費存取,這些 AMI 便會出現在"社群 AMI"中。在那裡,任何擁有 AWS 帳戶的社群成員皆可使用這些 AMI 來啟動 Amazon EC2 執行個體。AMI 通常包含特定組織應用程式的快照,其中包含配置資訊及應用程式資料。強烈建議您謹慎限制對 AMI 的存取權限。
限制非常用埠的傳入存取。 應限制對不常用埠口的存取,因為這些埠口可能成為惡意活動(例如:暴力破解攻擊、駭客入侵、DDoS 攻擊等)的潛在弱點。
限制對 EC2 安全群組的存取權限。 應限制對 EC2 安全群組的存取權限。此舉有助於進一步防止遭受惡意活動的威脅。
限制對 RDS 執行個體的存取權限。 透過 RDS 執行個體的存取權限,網際網路上的實體即可與您的資料庫建立連線。若未限制存取權限,組織將面臨 SQL 注入、暴力破解攻擊或駭客入侵等惡意活動的風險。
限制外連存取。 若允許從端口進行不受限制的外連存取,可能會使組織面臨網路威脅。您應僅允許特定實體進行存取——例如,特定端口或特定目的地。
限制對已知協定埠的存取。 必須對知名埠口的存取進行限制。若未加以管控,將使您的組織面臨未經授權存取資料的風險——例如透過 445 埠的 CIFS、透過 20/21 埠的 FTP,以及透過 3306 埠的 MySQL 等。

AWS S3 安全性最佳實踐

作為最常見的雲端儲存類型之一,用於儲存備份,您應該了解 Amazon S3 的運作原理並遵循 AWS S3 的安全性最佳實踐。

啟用版本控制。 版本控制是用來在將變更寫入物件後,於 S3 儲存桶中保留該物件的多個版本。若儲存桶中的物件發生了不希望的變更,您可以還原至任何之前的物件版本。
使用不可變(WORM)儲存裝置。 Amazon S3 支援"一次寫入、多次讀取"(WORM)模型,用於存取 S3 儲存桶中的資料。此方法可防止資料因使用者意外刪除,或遭勒索軟體及其他惡意軟體蓄意刪除而受損。將備份儲存於不可變動備份儲存中,能顯著提升 AWS 備份的安全性。
封鎖公開的 Amazon S3 儲存桶。 請封鎖 S3 儲存桶的公開存取權限,以避免資料遭到未經授權的存取,包括您儲存於 AWS S3 中的備份。您可以於帳戶層級或針對個別儲存桶進行此設定。

AWS EC2 安全性最佳實踐

不同的 AWS EC2 執行個體使用 EBS 卷是將備份儲存於 Amazon 雲端環境的另一種方式。請參考這些 AWS EC2 安全性最佳實踐,以保護您在 AWS EC2 雲端環境中建立的備份。

保護存取金鑰對。 請妥善保護為存取 Amazon EC2 執行個體所產生之金鑰對(即 Amazon EC2 中的公開金鑰與私密金鑰)。任何取得這些憑證且知悉執行個體 ID 的人,皆可存取該執行個體及其所含的資料。另請注意,您僅能在建立 Amazon EC2 執行個體時下載此金鑰一次,且 AWS 中並未保留私密金鑰的副本。下載後,應將此金鑰存放在安全的地方。
正在安裝更新。 在 Amazon EC2 執行個體上運行的 Windows 等來賓作業系統中,安裝安全性更新並更新驅動程式。
使用獨立的 EBS 卷。 EBS 卷是 AWS 中 EC2 執行個體的虛擬磁碟。請分別使用不同的 EBS 卷來執行作業系統及儲存備份。請確保包含備份資料的 EBS 卷在 EC2 執行個體終止後仍能持續存在。
設定臨時存取權限。 請勿將安全金鑰放置於 EC2 執行個體或 AMI 中以供臨時存取。若需提供臨時存取權限,請使用有效期較短的臨時存取憑證。請使用執行個體角色。

AWS VPC 安全性最佳實踐

Amazon 虛擬私有雲 (VPC) 是一種可透過指定網路配置進行隔離的雲端環境。此位於 AWS 中的邏輯隔離環境(非公有雲)可用於以更高的安全性等級儲存備份。

若要保護儲存於 VPC 中的備份,請參閱以下列出的 AWS VPC 安全性最佳實踐:

在將子網新增至 VPC 時,請使用多個可用區域以確保高可用性。
使用網路存取控制清單 (ACL) 來控制對子網的存取權限。
使用安全群組來控制子網中 EC2 執行個體的流量。
使用 VC 流量日誌來檢視在 VPC 中產生的事件。
請將您的 VPC 環境(例如開發、測試、備份等)進行隔離。

AWS 雲端資料安全的其他最佳實踐

還有其他幾項 AWS 安全性最佳實踐,可同時套用至多個類別:

採用統一的安全策略。 針對 AWS 雲端與本地伺服器,應採用統一的安全防護策略。若針對 AWS 與本地環境採取不同的安全防護政策,可能會在其中一方造成安全漏洞。由於這兩類環境是透過網路相互連線的,因此兩者都會因此變得容易受到攻擊。
備份工作自動化。 使用專用的資料保護軟體,將資料自動備份至 AWS。為確保最佳的 AWS 備份安全性,請排程定期執行備份作業,並將備份複製儲存至 Amazon S3 儲存桶中。

NAKIVO Backup & Replication 是支援以下功能的通用解決方案: Amazon EC2 備份／複製以及備份至 Amazon S3: