Bảo mật và mã hoá

5 phút phải nhớ

1. KMS quản lý khoá mã hoá; dịch vụ AWS (S3, EBS, RDS…) dùng KMS theo kiểu envelope: khoá KMS mã hoá data key, data key mã hoá dữ liệu.Encrypt trực tiếp của KMS chỉ nhận tối đa 4 KB; dữ liệu lớn dùng GenerateDataKey rồi mã hoá tại chỗ.
2. Ba loại khoá KMS: customer managed (bạn quản lý policy, xoay vòng, xoá), AWS managed (aws/s3, aws/ebs… do dịch vụ tạo), AWS owned (AWS dùng nội bộ, bạn không thấy).Cần kiểm soát key policy, chia sẻ khác tài khoản, tự xoay vòng / vô hiệu hoá: phải là customer managed key.
3. Key policy là cửa chính của khoá KMS: không có câu nào trong key policy cho phép thì IAM policy cũng không đủ.Lỗi AccessDenied khi giải mã từ tài khoản khác: kiểm tra key policy của khoá trước.
4. Xoay vòng tự động customer managed key mặc định mỗi năm, chọn được chu kỳ; khoá cũ vẫn giữ để giải mã dữ liệu cũ, ID khoá không đổi.Không cần mã hoá lại dữ liệu khi xoay vòng; ứng dụng không phải sửa.
5. Xoá khoá KMS phải chờ 7–30 ngày (mặc định 30); xoá xong thì dữ liệu mã hoá bằng nó mất vĩnh viễn.Muốn ngừng dùng mà vẫn khôi phục được: disable khoá, đừng xoá.
6. CloudHSM: HSM riêng một khách (single-tenant) trong VPC của bạn, bạn tự quản lý user và khoá; AWS không xem được khoá.Đề đòi "toàn quyền kiểm soát khoá, FIPS 140 mức 3, AWS không truy cập được" → CloudHSM (hoặc custom key store của KMS dựa trên CloudHSM).
7. Secrets Manager lưu bí mật và tự xoay vòng (managed rotation hoặc Lambda), tính phí theo bí mật; Parameter Store lưu cấu hình (SecureString cho bí mật), bậc standard không tốn thêm phí."Tự động đổi mật khẩu database định kỳ" → Secrets Manager. Chỉ cần chỗ lưu cấu hình rẻ → Parameter Store.
8. ACM cấp chứng chỉ TLS công khai miễn phí và tự gia hạn cho ALB, CloudFront, API Gateway; không xuất được private key của chứng chỉ công khai.Chứng chỉ cho CloudFront phải nằm ở us-east-1; cho ALB thì cùng Region với ALB.
9. WAF lọc HTTP(S) ở tầng 7 (SQL injection, XSS, rate limit, chặn IP / quốc gia, bot) trên CloudFront, ALB, API Gateway…Chặn tấn công ứng dụng web: WAF. Security Group / NACL không hiểu nội dung HTTP.
10. Shield Standard miễn phí, tự bảo vệ tầng 3/4; Shield Advanced trả phí hằng tháng, cam kết 1 năm, có đội ứng cứu DDoS và bảo vệ chi phí khi bị tấn công.Đề nhắc "đội ứng cứu DDoS 24/7" hoặc "hoàn tiền chi phí co giãn do DDoS" → Shield Advanced.
11. GuardDuty phát hiện mối đe doạ từ CloudTrail, VPC Flow Logs, DNS log (tự lấy, không cần bật log riêng); Inspector quét lỗ hổng EC2, ECR, Lambda; Macie tìm dữ liệu nhạy cảm trong S3.Ba dịch vụ hay bị đánh tráo: đe doạ / truy cập lạ → GuardDuty; CVE phần mềm → Inspector; PII trong S3 → Macie.
12. Security Hub gom finding từ nhiều dịch vụ và kiểm tra theo chuẩn (CIS, AWS best practices); Detective điều tra nguyên nhân bằng đồ thị."Một nơi xem tổng thể tình trạng bảo mật nhiều tài khoản" → Security Hub.
13. Config ghi lại cấu hình tài nguyên theo thời gian và kiểm tra tuân thủ bằng rule, có thể tự sửa; CloudTrail ghi ai gọi API gì, lúc nào."Ai đã xoá security group?" → CloudTrail. "Bucket nào đang không mã hoá, và tự sửa" → Config rule + remediation.
14. Mã hoá khi truyền: TLS (ACM); mã hoá khi lưu: KMS gần như ở mọi dịch vụ lưu trữ, thường bật bằng một tuỳ chọn.Snapshot / bản sao của tài nguyên đã mã hoá cũng mã hoá; muốn mã hoá tài nguyên cũ thì tạo bản sao mã hoá rồi chuyển sang.

Sơ đồ

So sánh nhanh

Mã hoá S3

KMS và CloudHSM

Lưu bí mật và cấu hình

Dịch vụ phát hiện và tuân thủ

Bảo vệ tầng mạng và web

Tình huống đề hay gặp

Chọn nhanh

Bảo vệ cái gì bằng gì?

Bẫy hay gặp

• Gọi KMS Encrypt cho dữ liệu lớn hơn 4 KB.
• Xoá khoá KMS khi chỉ muốn tạm ngừng: nên disable.
• Quên key policy khi chia sẻ khoá KMS cho tài khoản khác.
• Tưởng xoay vòng khoá KMS cần mã hoá lại toàn bộ dữ liệu.
• Tạo chứng chỉ ACM cho CloudFront ở Region khác us-east-1.
• Dùng Security Group / NACL để chặn SQL injection.
• Lẫn GuardDuty (đe doạ), Inspector (lỗ hổng), Macie (dữ liệu nhạy cảm).
• Lẫn CloudTrail (ai gọi API) với Config (cấu hình và tuân thủ).
• Lưu mật khẩu trong code hoặc biến môi trường thay vì Secrets Manager / Parameter Store.
• Chọn Parameter Store khi đề đòi tự xoay vòng mật khẩu.
• Mở cổng 22 cho bastion khi Session Manager làm được mà không cần mở cổng.
• Nghĩ Shield Standard phải bật hay trả phí: luôn bật sẵn, miễn phí.

Dịch vụ trong module

• KMSquản lý khoá mã hoá
• CloudHSMhsm phần cứng riêng
• Secrets Managercất mật khẩu, API key
• Systems Managerquản lý máy & cấu hình
• ACMchứng chỉ HTTPS miễn phí
• WAFtường lửa web
• Shieldchống tấn công DDoS
• Firewall Managerquản lý firewall tập trung
• GuardDutyphát hiện mối đe doạ
• Inspectorquét lỗ hổng tự động
• Macietìm dữ liệu nhạy cảm trong S3
• Security Hubtrung tâm tổng hợp bảo mật
• Detectiveđiều tra sự cố bảo mật
• Configghi nhận và đánh giá cấu hình
• CloudTrailnhật ký ai gọi API gì

Số liệu dễ thay đổi (đã kiểm với tài liệu AWS)

• KMS Encrypt với khoá đối xứng nhận tối đa 4.096 byte dữ liệu; dữ liệu lớn hơn dùng GenerateDataKey. kiểm ngày 2026-10-16 ↗
• Xoay vòng tự động customer managed key mặc định 365 ngày (chọn được chu kỳ); AWS managed key luôn xoay vòng mỗi năm; key material cũ được giữ để giải mã. kiểm ngày 2026-10-16 ↗
• Xoá khoá KMS phải đặt thời gian chờ 7–30 ngày, mặc định 30 ngày; chỉ xoá được customer managed key. kiểm ngày 2026-10-16 ↗
• CloudHSM là HSM single-tenant, FIPS 140-2 hoặc 140-3 mức 3 ở chế độ FIPS. kiểm ngày 2026-10-16 ↗
• Chứng chỉ ACM dùng cho CloudFront (viewer HTTPS) phải được yêu cầu / import ở us-east-1. kiểm ngày 2026-10-16 ↗
• Shield Standard miễn phí; Shield Advanced tính phí hằng tháng (ví dụ của AWS: 3.000 USD) cộng phí truyền dữ liệu, cam kết 1 năm. kiểm ngày 2026-10-16 ↗
• Secrets Manager: 0,40 USD mỗi bí mật mỗi tháng, 0,05 USD mỗi 10.000 lần gọi API. kiểm ngày 2026-10-16 ↗
• Parameter Store: standard tối đa 10.000 tham số, 4 KB, không thêm phí; advanced 100.000 tham số, 8 KB, có phí, có parameter policy. kiểm ngày 2026-10-16 ↗
• Bật GuardDuty là tự lấy CloudTrail management events, VPC Flow Logs (EC2) và DNS log, không cần bật thêm. kiểm ngày 2026-10-16 ↗