Gartner：亚马逊AWS安全的最佳实践

亚马逊云计算服务可以很好地处理企业工作负载，并且采用了加密和防火墙等安全控制，但根据Gartner的分析表示，亚马逊仍然需要更多的安全供应商来支持亚马逊的EC2服务。

Gartner分析师Neil MacDonald在2014年Gartner安全和风险管理峰会上表示，很多IT经理存在一个误解，他们认为亚马逊的EC2是某种消费级云服务。“这是专供企业使用的服务，”他表示，并指出亚马逊平台正在不断发展超越简单的基础设施即服务^[注]，涵盖了弹性快存储和其他服务。但企业确实需要从亚马逊的EC2构建更高的可用性。

MacDonald表示，亚马逊有一个内置防火墙，但它相当“粗粒度”，尽管某些厂商的产品更适合亚马逊服务(因为它们是为其而设计的)，但是很多使用亚马逊服务的企业经理选择使用第三方软件基于主机的防火墙。

Check Point、Sophos和Trend Micro都有针对亚马逊EC2的基于软件的防火墙/IPS，但他补充说，企业很难在亚马逊中运行Palo Alto防火墙。“在亚马逊云服务中，思科的防火墙在哪里?”MacDonald表示他想知道思科和其他供应商的防火墙情况。

有些供应商还有针对亚马逊的加密代理，包括Porticor、Safenet、Voltage和Vormetric等。亚马逊也提供加密服务。AlienVault和Splunk都有针对亚马逊EC2的安全信息和事件管理产品。CloudPassage、趋势科技、Dome9和McAfee(英特尔的安全分支公司)都提供针对亚马逊的各种基于服务器的安全产品。MacDonald表示他建议使用基于白名单的服务器保护策略进行持续的监控，同时他建议避免使用SSH密钥。

虽然这一切都表明越来越多的供应商开始支持亚马逊EC2用于企业工作负载，但亚马逊本身也需要做出一些改进。

亚马逊现在提供CloudTrail来审计活动。但MacDonald表示，亚马逊需要提供的主要事情之一是，让其客户可以查看亚马逊系统管理员的活动情况，知道他们在做什么。这是因为企业仍然非常担心他们的数据资源被进行“快照”。这种快照的担忧正在阻碍一些企业的部署。

MacDonald表示：“如果你的数据非常重要，快照的担忧可能让你晚上睡不着，你就会不想把数据放在云计算中。”他补充说，他正在催促亚马逊添加更多新功能和特性，例如专用的存储选项，MacDonald认为“现在没有办法实现网络分流”，他使用代理软件作为替代品。

尽管有这些批评，在最近的Gartner魔力象限中，亚马逊AWS仍然位于市场领导者象限，而微软则紧跟其后。CenturyLink、IBM SoftLayer、Verizon Terramark和CSC在该魔力象限报告中被列为“远见者”，而VMware、Rackspace和GoGrid等则被Gartner列为“利基市场供应商”。