Cloud Security 是一个云安全姿态评估技能，用于对云基础设施进行系统化的配置风险分析，在配置被利用之前发现并修复问题。它属于预防性的 CSPM（云安全姿态管理）方法论与工具集。
一、用途与定位 该技能用于检测云环境中的配置错误，包括 IAM 权限提升、存储公开暴露、网络过度授权和基础设施代码安全问题。它明确区分于其他安全技能：cloud-security 关注云配置风险，是预防性的；incident-response 处理已确认的云入侵事件，是反应性的；threat-detection 在云日志中主动搜索攻击者行为；security-pen-testing 则主动利用应用漏洞。使用前提是拥有对 IAM 策略文档、S3 配置和安全组规则的 JSON 格式读取访问权限。
二、主要能力
- 云姿态检查工具 cloud_posture_check.py：支持 iam（权限提升）、s3（公开访问）、sg（网络暴露）三类检查，可从配置结构自动识别检查类型或通过 --check 显式指定。支持 --json 输出、--provider 指定云厂商、--severity-modifier 调整严重等级（internet-facing 面向互联网、regulated-data 受监管数据，均将每个发现的严重等级提升一级）。退出码含义：0 表示无高危/严重发现，1 表示存在高危发现需 24 小时内修复，2 表示存在严重发现需立即修复。
- IAM 策略分析：检测权限提升路径、过度授权、公开主体暴露和数据外泄风险。涵盖 Lambda PassRole 提升、EC2 实例配置文件滥用、CloudFormation PassRole、自附加策略提升、内联策略自提升、策略版本后门、凭据收集、组成员身份提升、密码重置攻击、服务级通配符等模式，并映射至 MITRE 技术编号。对每个严重或高危发现输出最小权限建议（least_privilege_suggestion）。
- S3 暴露评估：检查公开访问块配置（四项标志任一缺失或为 false 即高危）、存储桶 ACL（public-read-write 为严重）、存储桶策略主体（Principal 为 * 且 Allow 为严重）、默认加密（缺少 SSE 配置为高危）。文档建议在所有存储桶和账户级别同时启用全部四项公开访问块设置，并使用 aws:kms 加密与 BucketKeyEnabled。
- 安全组分析：标记向 0.0.0.0/0 或 ::/0 开放的管理端口（22 SSH、3389 RDP 为严重，全端口开放为严重）和数据库端口（1433、3306、5432、27017、6379、9200 为高危），并给出限制来源或迁移至私有子网的修复建议。
- IaC 安全检查：在定义阶段检查 Terraform、CloudFormation、Kubernetes 清单和 Helm 图表，覆盖资源级检查（如 aws_s3_bucket_acl、aws_security_group、aws_iam_policy_document）与模板属性校验。文档给出 Terraform IAM 策略的通配符反例与最小权限正例，并引用完整 CSPM 检查参考 references/cspm-checks.md。
- 云厂商覆盖矩阵：AWS 为完整支持（IAM 策略与信任策略、ESCALATION_COMBOS、S3 策略/ACL/公开访问块、安全组与 NACL 端口分析、Terraform 与 CloudFormation），Azure 和 GCP 为部分支持（涉及 RBAC 分配、服务主体风险、Blob SAS 令牌、GCS 存储桶 IAM、NSG 规则、防火墙规则、ARM/Bicep 模板等）。
三、使用方式 提供三个工作流：快速姿态检查（约 20 分钟，导出 IAM 策略、S3 配置、安全组后运行检查，退出码 2 阻止部署并修复）；完整云安全评估（多日，第 1 天 IAM 与身份，第 2 天存储与网络，第 3 天 IaC 与 CI/CD，产出优先级排序的修复计划）；CI/CD 安全门禁（在 terraform apply 前校验计划，或修改前校验现有 S3 存储桶策略，退出码 2 时阻止部署）。工具可直接从 AWS CLI 经 jq 管道输入，或使用 - 从标准输入读取。
四、适用场景与限制 适用于新配置资源的检查、部署前审查、生产环境云姿态评估和 CI/CD 安全门禁。限制与反模式包括：不能只检查单个高风险操作而忽略权限提升组合；不能只启用存储桶级公开访问块而忽略账户级设置；面向互联网资源必须应用 internet-facing 严重性修饰符；不能只检查管理员策略；移除权限前需进行根因分析并记录业务理由，防止权限被静默重新引入；须审计服务账户的过度授权；受监管数据资源必须使用 regulated-data 修饰符。该技能不适用于主动云入侵的事件响应，也不用于应用漏洞扫描。