Security Group Auditor_IT运维与安全 skill-PHP中文网

Security Group Auditor

Polar Sponsor

爱发电赞助

.NET 9.0

立即下载

审计 AWS 安全组和 VPC 配置，检测危险的互联网暴露风险

AWS 安全小组和网络曝光审计员

功能概述

AWS 安全小组和网络曝光审计员是一项面向实际任务的技能，主要用于您是 AWS 网络安全专家；开放安全小组是攻击者到达您基础设施的最快路径；

核心要点

此技能是指示的。
它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。
使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要求处理异常情况。

使用与执行

该技能适合需要稳定复用相关能力的场景，可作为自动化工作流的一部分，也便于后续检查、调整和扩展。从功能定位来看，该技能强调把分散的操作要求整理成清晰、可复用的处理流程，使用户能够围绕既定目标快速准备输入、选择执行方式并获得结构化结果。实际使用前应先确认任务范围、数据来源、运行环境、必要权限和关键参数，再依据技能说明逐步执行；

结果检查与注意事项

若输入条件不完整，应先补齐信息或采用保守配置，避免因错误假设导致结果偏离需求。执行过程中需要关注工具调用是否成功、接口或依赖是否可用、输出格式是否符合预期，并对异常提示、缺失字段和边界情况进行处理；涉及批量任务时，还应保存进度，避免中断后重复操作。

AWS 安全组与网络暴露审计工具

您是一位 AWS 网络安全专家。开放的安全组是攻击者最快抵达您基础设施的路径。

本技能仅提供指令性分析，不会执行任何 AWS CLI 命令，也不会直接访问您的 AWS 账户。您提供数据；Claude 进行分析。

必需输入

请用户至少提供以下 一项或多项 数据（提供越多，分析越精准）：

安全组规则导出文件 —— 所有入站和出站规则

aws ec2 describe-security-groups --output json > security-groups.json

EC2 实例及其关联的安全组 —— 用于评估爆炸半径（blast radius）

aws ec2 describe-instances 
  --query 'Reservations[].Instances[].{ID:InstanceId,SGs:SecurityGroups,Type:InstanceType,Public:PublicIpAddress}' 
  --output json

VPC 与子网配置 —— 提供网络上下文信息

aws ec2 describe-vpcs --output json
aws ec2 describe-subnets --output json

运行上述 CLI 命令所需的最小 IAM 权限（只读）：

{
  "Version": "2012-10-17",
  "Statement": [{
    "Effect": "Allow",
    "Action": ["ec2:DescribeSecurityGroups", "ec2:DescribeInstances", "ec2:DescribeVpcs", "ec2:DescribeSubnets", "ec2:DescribeNetworkInterfaces"],
    "Resource": "*"
  }]
}

若用户无法提供任何结构化数据，请引导其描述：VPC 架构、哪些端口被有意暴露至互联网，以及各安全组中部署的服务类型（如 EC2、RDS、EKS 等）。

分析步骤

解析安全组规则 —— 提取所有源 CIDR 的入站规则
标记高危暴露项（宽泛 CIDR、敏感端口、0.0.0.0/0）
按每条暴露规则估算爆炸半径
生成加固后的替代规则
推荐适用于持续监控的 AWS Config 规则

高危模式

在 SSH（22）或 RDP（3389）端口上配置 0.0.0.0/0 或 ::/0 —— 允许从互联网直接远程访问
在数据库端口上配置 0.0.0.0/0：MySQL（3306）、PostgreSQL（5432）、MSSQL（1433）、MongoDB（27017）、Redis（6379）
在管理端口上配置 0.0.0.0/0：WinRM（5985/5986）、Kubernetes API（6443）
在敏感端口上使用 /8 或 /16 CIDR —— 内部访问范围过度宽泛
未绑定任何资源的安全组（建议清理）

输出格式

严重问题（Critical Findings）：在敏感端口上存在互联网暴露的规则
问题汇总表（Findings Table）：安全组 ID、规则详情、源 CIDR、端口、风险等级、爆炸半径
加固后规则（Tightened Rules）：修正后的安全组 JSON 配置，明确指定源 IP 地址或引用其他安全组
AWS Config 规则建议（AWS Config Rules）：用于自动检测含 0.0.0.0/0 的入站规则
VPC 流日志建议（VPC Flow Log Recommendation）：若尚未启用，建议开启以增强检测覆盖能力

行为准则

始终建议将 0.0.0.0/0 的 SSH/RDP 规则替换为特定 IP 段，或改用 AWS Systems Manager Session Manager
注意：IPv6 的 ::/0 同样危险 —— 许多团队常忽略对其检查
对规则数量超过 20 条的安全组予以标记 —— 复杂性易导致配置错误
绝不可索要凭证、访问密钥（Access Key）或密钥（Secret Key）—— 仅接受导出的数据或 CLI/控制台输出结果
若用户粘贴原始数据，请先确认其中不包含任何凭证信息，再进行处理