SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场security-assessment

security-assessment

安全与审计

查看项目

更新于 10-15 13:59

技能介绍

用途

security-assessment 是一个面向 AWS 工作负载的安全态势深度评估技能。它通过分析代码库中的基础设施即代码（IaC）与配置，检查 IAM 策略、加密配置、网络规则和安全控制，产出有证据支撑的安全评估结论。评估结果可对照合规要求（如 SOC2、HIPAA、PCI-DSS、FedRAMP、GDPR 等）进行映射。

主要能力

评估按步骤推进，覆盖以下领域：

  • 身份与访问管理（IAM）：检查 IAM 角色定义（信任策略与权限策略）、托管与内联策略文档、服务关联角色与权限边界、基于资源的策略（S3 桶策略、KMS 密钥策略、SQS 策略）、Cognito/Identity Center 配置、API Gateway 授权器、Lambda 执行角色。对每个 IAM 资源记录文件路径与行号、允许的操作（标记通配符）、资源范围（标记通配符）、信任关系以及是否遵循最小权限。
  • 加密与数据保护：检查 KMS 密钥定义与密钥策略、所有存储的静态加密设置（S3、EBS、RDS、DynamoDB、EFS、Secrets Manager）、传输中加密设置（TLS 配置、监听器规则、安全策略）、证书管理（ACM、自签名）、密钥管理（Secrets Manager、Parameter Store SecureString、环境变量）以及数据分类标签。
  • 网络防护：检查 VPC 定义（子网、路由表、互联网网关）、安全组规则（入站与出站）、网络 ACL、WAF 规则与 Web ACL、VPC 端点（接口与网关）、NAT 网关及其位置、负载均衡器安全（监听器、目标组、安全策略）、API Gateway 端点类型与限流。
  • 检测与响应：检查 CloudTrail 配置、GuardDuty 启用情况、Security Hub 配置、Config Rules、VPC Flow Log 设置、安全事件 CloudWatch 告警（root 登录、未授权 API 调用）、自动化响应配置（Lambda 修复、Step Functions）、S3 访问日志。
  • 计算资源保护：检查 Lambda 函数配置（运行时、层、VPC 挂载、预留并发）、ECS/EKS 任务定义（特权模式、用户、能力、密钥注入）、EC2 启动模板（IMDSv2、用户数据、安全组）、容器镜像来源与扫描配置、SSM Session Manager 配置（对比 SSH 访问）。

使用方式

技能以分步流程执行，并在关键节点设置检查点：

  1. 收集上下文：询问用户要评估的工作负载或 AWS 环境、要分析的代码包/目录、合规要求以及已知关注点。若已提供上下文或处于含 IaC 的代码库中，则直接继续。
  2. 发现阶段：依次完成 IAM、加密与数据保护、网络防护的发现。
  3. 检查点一：在评估前呈现发现摘要（IAM、加密、网络），等待用户明确确认后再继续。
  4. 继续发现：完成检测与响应、计算资源保护的发现。
  5. 对照 WA 框架评估：针对 SEC 1 至 SEC 10 每个问题，提供状态、证据（文件:行号）、差距与风险。
  6. 风险评估：对每个发现按影响（Minor/Moderate/Severe）× 可能性（Low/Medium/High）评定风险等级（Critical/High/Medium/Low）。
  7. 检查点二：在生成报告前确认发现，呈现关键/高/中低发现数量，等待用户明确确认。
  8. 产出发现：生成报告，包含执行摘要、安全评分卡、关键与高风险发现、中风险发现、低风险发现汇总表、合规映射、分优先级修复计划（快速见效 <1 周、基础 1-4 周、战略 1-3 个月）以及后续步骤。
  9. 提供后续选项：如设计最小权限 IAM 策略、生成安全控制的 IaC、创建事件响应手册、详细映射合规框架、设计网络分段架构、以最小干扰收紧安全组规则等。

适用场景

  • 对 AWS 工作负载进行安全态势评估，尤其是以代码形式定义基础设施的项目。
  • 需要对照 AWS Well-Architected 框架安全支柱进行系统性检查。
  • 需要将安全发现映射到特定合规框架（SOC2、HIPAA、PCI-DSS、FedRAMP、GDPR 等）。
  • 需要基于代码证据而非泛泛建议来识别安全差距并制定修复计划。

限制

  • 评估基于静态代码分析；当静态分析不足以判断时（例如实际 IAM 使用模式需要 Access Analyzer 数据），会标记为“无法确定”。
  • 每个发现必须有代码证据，不会在未检查是否已启用的情况下给出“应启用加密”之类的建议。
  • 协议级风险会被明确标记：TLS 低于 1.2 始终为 Critical，弱密码套件始终为 High。
  • 若指定了合规要求，每个关键/高风险发现都会映射到相关合规控制项。
  • 评估流程在检查点处必须等待用户明确确认后才能继续。
  • 关于收费、价格、平台支持范围等具体信息，资料中暂未提供。