设计分层防御场景

考试偏好纵深防御：使用多个相互独立的层，这样即使一层失效，其他层仍能保护工作负载。

单一控制措施是不够的。最佳答案通常会结合身份、网络、数据和检测控制措施，而不是只依赖其中一种。

在网络边缘堆叠多层防护：

• Shield 吸收 DDoS 洪水攻击。
• WAF 过滤恶意 Web 请求。
• CloudFront 终止 TLS，减少源站的暴露面。

每一层负责处理不同类别的威胁。

在 VPC 内组合多种控制措施：

• 子网设计隔离各层。
• 网络访问控制列表以无状态方式保护子网；安全组以有状态方式保护实例。
• 网络防火墙提供深度检查和出站流量控制。

身份本身也有多个层次：

• IAM 策略授予最低权限。
• 权限边界限制角色能够执行的最大操作范围。
• 服务控制策略设定组织范围的上限。

某个操作必须通过所有层次才能获准。

从多个方面保护数据：

• 加密静态数据（KMS）和传输中的数据（TLS/ACM）。
• 严格控制密钥，并将密钥存储在密钥管理器中。
• 使用麦希发现敏感数据。

即使存储遭到入侵，加密数据仍然受到保护。

检测本身也分层进行：

• 使用 GuardDuty 检测威胁，使用配置检测偏离，使用流日志检测网络异常。
• 安全中心负责汇总，避免遗漏任何情况。

多个信号可以发现单一来源可能遗漏的问题。

强大的设计会结合预防性和检测性控制措施。

• 预防性控制（服务控制策略、安全组、存储桶策略）阻止不当操作。
• 检测性控制（配置、GuardDuty、CloudTrail）发现漏网之鱼。

考试通常要求同时使用两者，而不是只使用一种。

端到端保护公共 Web 应用：边缘使用 CloudFront + WAF + Shield，公共子网中使用 ALB，应用服务器位于私有子网中，数据库使用 KMS 加密，通过 IAM 角色访问，密钥存储在密钥管理器中，并通过 GuardDuty 和 CloudTrail进行监控。

请留意依赖单一控制措施的设计，例如单个安全组或堡垒主机。

最强的答案会消除单点故障：不开放端口（使用 SSM 会话管理器），不共享密钥（使用角色），并采用冗余检测。

分层设计还意味着限制爆炸半径，也就是某个控制措施失效时可能造成的损害范围。

• 使用不同账户将工作负载彼此隔离。
• 限定范围的密钥和角色限制单次入侵能够访问的范围。

考试偏好这样的设计：一次入侵不会级联成全面失陷。

当多个答案都“可行”时，请选择分层最多、权限最小且托管程度最高的答案。

在考试场景中，AWS 托管的自动化纵深防御方案几乎总是优于手动的单层方案。

选择分层最完善的设计。

您已经学会设计分层防御。

• 在边缘、网络、身份、数据和检测层叠加控制措施。
• 结合预防性和检测性控制措施。
• 考试中的最佳答案通常是分层最多、权限最小且由 AWS 托管的方案。