用途：当组织缺乏对多云账户错误配置的可见性、合规要求需持续对照 CIS/NIST/SOC 2 监控、需按实际风险排序修复、迁移上云前建立安全基线，或将云态势发现接入 SOC/SIEM 时使用。不适用于运行时威胁检测、应用层漏洞扫描或网络流量分析。
主要能力：盘点云账户并按数据敏感度与合规需求分类；选择并部署原生或商业 CSPM 工具（如 AWS Security Hub、Defender for Cloud、Wiz、Prisma Cloud、Orca、Lacework）；将合规框架控制映射到策略并编写自定义规则；自动化漂移检测与告警；用攻击路径和资产上下文做风险评分；将发现导出到 SIEM、工单与高管仪表盘。
使用方式：需目标云账户只读 API 访问、明确的合规框架、SIEM 或工单系统及预算。流程为：评估云资产与风险偏好→选型部署→定义策略基线与自定义规则→自动化漂移检测与告警→上下文风险评分排序→集成 SOC 工作流与报告。示例命令包括用 CloudFormation 部署 Wiz 连接器、创建 Prisma Cloud 只读跨账户角色、用 AWS Config 规则检测 S3 公开访问并配置 SSM 自动修复、通过 Security Lake 以 OCSF 格式导出发现。
适用场景：如并购后两周内评估继承的 30 个 AWS 账户与 5 个 GCP 项目，可部署无代理工具、运行 CIS 基线扫描、识别公开暴露数据库与过度授权账户、优先修复连接互联网与 PII 存储的攻击路径，并输出风险排序报告与 90 天修复路线图。
限制：需只读权限与合规框架定义；商业工具涉及预算，原生工具多云对比困难；无代理评估可快速获得可见性，但初始评估部署代理会延迟数周。具体价格、平台支持细节及效果数据暂未提供。