如果 aws 帐户被黑，则将数据从 aws 备份到其他云存储进行备份

Question

我们正在考虑将我们所有的 AWS 数据（RDS 和 S3）备份到其他一些云源，因为公司 AWS 帐户的开发人员有可能被黑客入侵。然后黑客可以从 AWS 中删除所有内容。所以我在这里有两个问题：

1. 我关于某人删除整个数据的假设是否正确？
2. 抑制这种情况的最佳方法是什么？基本上，除了AWS，我只能考虑使用其他一些服务作为数据备份，如果有人做过这样的事情，知道他们是如何实现的会非常好。

Answer 1

只要我们拥有 IT 系统，内部威胁问题就一直存在，亚马逊也不例外。不同的是，亚马逊只有一个神级账户，点击几下就可以删除整个基础设施。对 AWS 的建议在其他方面是相同的，但归结为：

• 确保特权分离。DBA 类型应与 sysadmin-types 具有不同的访问权限，后者应与 dev-types 具有不同的访问权限。
• 不要让每个人都可以访问所有内容。这是最简单的出路，也是邪恶潜伏的地方。
• 确保 God 帐户只能由尽可能少的人使用，如果可行，请使用 2-factor。
  • 推论：拥有完全访问权限的 IAM 帐户几乎与访问 God 帐户一样糟糕。确保 IAM-FullAccess 帐户在尽可能少的人手中。
• 指定有权访问 S3 存储桶的“备份管理员”是个好主意。这可以阻止您删除所有内部攻击。

完全在 AWS 之外进行备份是非常可行的，但使其工作的工程非常重要（尤其是对于 RDS 等托管服务）。AWS 本身建议构建您的安全性以防止这种情况发生，如果发生这种情况，影响是本地化的。