阿里云：使用KMS一鍵保護ECS工作負載

來源：阿里云

作者：俊樸

時間：2020-11-27

當您的 ECS 工作負載用于處理生產(chǎn)數(shù)據(jù)時，它通常會接觸到您的關(guān)鍵業(yè)務機密、您的客戶隱私信息或者關(guān)鍵系統(tǒng)憑證，因此需要對工作負載進行保護防范信息泄露。阿里云 KMS 支持您通過一鍵加密的方式，圍繞工作負載，保護計算環(huán)境中產(chǎn)生的臨時和持久數(shù)據(jù)，滿足您對數(shù)據(jù)安全、隱私以及合規(guī)的要求。對負責運維和安全的團隊來說，加密 ECS 工作負載的資源是 DevOps 研發(fā)模式下，簡單而有效的安全兜底方案。

本文介紹如何利用阿里云KMS，對ECS上的工作負載進行保護。

為什么需要保護工作負載

在討論工作負載的保護之前，我們先來了解一下更原始的數(shù)據(jù)安全需求：保護業(yè)務機密和個人隱私。這類數(shù)據(jù)是企業(yè)的核心價值所在，而且通常也受到監(jiān)管合規(guī)的約束，例如廣泛所知的GDPR會要求企業(yè)保護個人的隱私數(shù)據(jù)。

這類數(shù)據(jù)通常存儲在數(shù)據(jù)庫，那么應用系統(tǒng)應當在存儲之前將其加密，降低數(shù)據(jù)庫面臨撞庫拖庫等攻擊之后泄露的風險。

為了保證加密的安全性與合規(guī)性，應用系統(tǒng)可以使用KMS或者加密服務完成業(yè)務數(shù)據(jù)的加密。關(guān)于應用層加密業(yè)務數(shù)據(jù)，可以參考KMS信封加密做了解更多，本文不做展開。

我們假定您已經(jīng)做了上述保護手段，那么處理加解密的工作負載，就替代了數(shù)據(jù)庫，成為了您的系統(tǒng)中新的薄弱環(huán)節(jié)?？紤]以下幾種情況：

您的ECS應用中，有訪問KMS或者密碼機，以及訪問其他微服務、子系統(tǒng)的關(guān)鍵憑證；

您的ECS系統(tǒng)盤，可能產(chǎn)生一些臨時文件，包含網(wǎng)絡傳輸、本地處理過程中，接觸到的敏感數(shù)據(jù);

為了系統(tǒng)穩(wěn)定可恢復，您對ECS云盤開啟了基于自動快照的“云盤備份”，對敏感數(shù)據(jù)進行大量冗余存儲；

實際的業(yè)務系統(tǒng)部署會面臨比以上三點更多的問題，而更本質(zhì)的問題是：

在研發(fā)（DevOps）自治的應用部署和生命周期變更機制下，運維與安全負責人并不知道工作負載是否產(chǎn)生了新的敏感數(shù)據(jù)類型，是否引入新的業(yè)務邏輯處理敏感數(shù)據(jù)。

KMS帶來的價值

明確了工作負載所攜帶的風險，因此阿里云ECS基于KMS加密，提供保護工作負載所屬資源的能力，這包括：ECS的系統(tǒng)盤、數(shù)據(jù)盤，以及和它們相關(guān)的鏡像、快照。

您可以授權(quán)ECS使用您在KMS中的用戶主密鑰（CMK），一鍵加密這些資源，把已知和未知的，臨時和持久性的敏感數(shù)據(jù)都保護起來，防范它們被惡意者獲取。由于您同時具備撤銷ECS使用KMS解密的能力，因此可以在特定的時候，通過撤銷授權(quán)、禁用密鑰等手段，獲得應急響應的能力。

對負責運維和安全的團隊來說，加密ECS工作負載的資源是DevOps研發(fā)模式下，簡單而有效的安全兜底方案。

一鍵加密系統(tǒng)盤

由于系統(tǒng)盤實際上包含了操作系統(tǒng)，以及業(yè)務所需要的應用軟件，因此它通常被打包為一個鏡像。

當您制作好這個具備在生產(chǎn)環(huán)境運行的自定義鏡像作為基線之后，就可以通過拷貝鏡像的方式，產(chǎn)生一個加密鏡像。