我们想要构建一个web应用程序并将其部署在AWS上。
- EC2:Laravel
- RDS：MySQL
我将使用Laravel的加密器来加密数据库的数据。即使RDS被黑客入侵，数据也被加密了。黑客无法知道内容。但如果EC2被黑客入侵，黑客可以获得数据库证书和源代码上的加密密钥，并解密数据库中的加密数据。
我的老板(可能是客户(认为这是不够的，因为数据库包含用户的敏感信息。他想防止数据库的原始数据泄露，即使网络服务器(EC2(被黑客入侵。有可能吗？
如果没有，我认为我们应该专注于让网络服务器更难被黑客入侵：
- 设置安全组以按IP地址限制ssh访问
- 或者其他措施
以下是一些可以减少爆炸半径的安全措施。
移动RDS数据库的凭据，使其不直接在实例上，使用凭据存储，如：
- AWS机密管理器
- HashiCorp Vault
经常轮换您的数据库凭据，并为您的EC2应用程序和而不是IAM用户使用IAM角色。
将您的EC2和RDS保留在私有子网内，在EC2前面添加一个ELB，使公共流量只能访问此设备。
将安全组配置为仅限于他们需要的范围，将对AWS VPC的入站访问限制为VPN或直接连接。
限制谁可以在您的AWS帐户中做什么，如果用户不需要为其角色执行某些操作，则只需删除这些权限。这将防止对用户不应该使用的服务执行意外操作。
AWS在安全支柱方面也有很多可以做的操作，所以一定要仔细阅读。