aws-security-scanner

用途

AWS Security Scanner 技能用于对 AWS 账户和组织进行自动化的安全配置扫描与加固，帮助识别错误配置、合规违规以及安全风险。其目标流程包括云安全架构审查、合规监控、安全态势评估和 AWS 账户加固。

主要能力

Prowler 安全评估

• 运行全面的 Prowler 安全扫描
• 执行 CIS AWS Foundations Benchmark 检查
• 运行 AWS Well-Architected 安全支柱评估
• 检查 PCI DSS、HIPAA、GDPR 合规性
• 生成多格式报告（HTML、CSV、JSON）

IAM 安全分析

• 分析 IAM 策略是否存在过度授权
• 检查未使用的凭证和访问密钥
• 识别未启用 MFA 的 IAM 用户
• 审查跨账户访问配置
• 检测权限提升路径
• 分析服务控制策略（SCP）

S3 存储桶安全

• 识别可公开访问的存储桶
• 检查存储桶加密配置
• 审查存储桶策略和 ACL
• 验证访问日志是否启用
• 检查敏感数据暴露
• 验证版本控制和复制

网络安全分析

• 审查安全组配置
• 分析网络 ACL
• 检查 VPC 流日志启用情况
• 识别面向公网的资源
• 验证 VPC 终端节点配置
• 检查过于宽松的规则

加密验证

• 验证 EBS 卷加密
• 检查 RDS 加密设置
• 验证 S3 加密配置
• 审查 KMS 密钥策略
• 检查 Secrets Manager 配置
• 验证证书有效性

日志与监控

• 验证 CloudTrail 配置
• 检查 CloudWatch 日志保留
• 验证 GuardDuty 启用情况
• 审查 Security Hub 发现
• 检查 Config 规则合规性
• 验证告警配置

合规映射

• 将发现映射到 CIS Benchmarks
• 生成 SOC 2 证据
• 跟踪 PCI DSS 合规性
• 记录 HIPAA 控制项
• 映射到 NIST 框架

覆盖的 AWS 服务

• 身份：IAM、SSO、Organizations
• 计算：EC2、Lambda、ECS、EKS
• 存储：S3、EBS、EFS、Glacier
• 数据库：RDS、DynamoDB、Redshift
• 网络：VPC、CloudFront、Route53
• 安全：Security Hub、GuardDuty、KMS
• 监控：CloudTrail、CloudWatch、Config

集成

• Prowler：开源 AWS 安全工具
• AWS Security Hub：集中式安全发现
• AWS Config：配置合规性
• AWS CloudTrail：API 活动日志
• AWS GuardDuty：威胁检测
• AWS IAM Access Analyzer：访问分析

使用方式

该技能通过输入 schema 接收扫描参数，包括：

• scanType（必填）：扫描类型，可选 full、cis、pci、hipaa、gdpr、custom
• awsAccounts：要扫描的 AWS 账户 ID 数组
• regions：要扫描的 AWS 区域数组
• services：要扫描的特定服务数组
• severityThreshold：严重性阈值，可选 critical、high、medium、low、informational
• complianceFrameworks：合规框架数组，可选 CIS、PCI-DSS、HIPAA、GDPR、SOC2、NIST
• excludeChecks：要排除的检查 ID 数组

输出 schema 包含：scanId、scanTimestamp、accountsScanned、regionsScanned、summary（totalChecks、passed、failed、warnings）、findingsBySeverity（critical、high、medium、low）、findings（checkId、severity、service、region、resourceId、description、remediation、complianceMapping）、complianceStatus、recommendations、reportPaths（html、csv、json）。

使用示例：

skill: {
  name: 'aws-security-scanner',
  context: {
    scanType: 'cis',
    awsAccounts: ['123456789012'],
    regions: ['us-east-1', 'us-west-2'],
    complianceFrameworks: ['CIS', 'SOC2'],
    severityThreshold: 'medium'
  }
}

适用场景

• 云安全架构审查
• 合规监控
• 安全态势评估
• AWS 账户加固

限制

资料中未提供关于收费、价格、平台支持范围、具体安装命令或性能限制的说明。