云安全

# 分析 IAM 策略中的权限提升路径
python3 scripts/cloud_posture_check.py policy.json --check iam --json
评估 S3 存储桶配置的公共访问情况
python3 scripts/cloud_posture_check.py bucket_config.json --check s3 --json
检查安全组规则中是否存在开放的管理端口
python3 scripts/cloud_posture_check.py sg.json --check sg --json
运行所有检查，并针对面向互联网的风险提升严重等级
python3 scripts/cloud_posture_check.py config.json --check all \
  --provider aws --severity-modifier internet-facing --json
受监管数据上下文（将所有发现结果的严重等级提升一级）
python3 scripts/cloud_posture_check.py config.json --check all \
  --severity-modifier regulated-data --json
通过 AWS CLI 管道传输 IAM 策略
aws iam get-policy-version --policy-arn arn:aws:iam::123456789012:policy/MyPolicy \
  --version-id v1 | jq '.PolicyVersion.Document' | \

### 退出码
| 代码 | 含义 | 建议操作 |
|------|---------|-----------------|
| 0 | 无高/危风险项 | 无需操作 |
| 1 | 存在高危风险项 | 24 小时内修复 |
| 2 | 存在严重风险项 | 立即修复 —— 若处于活跃状态请升级为事件响应 |
---
IAM 策略分析
IAM 分析用于检测权限提升路径、过度授权、公共主体暴露以及数据外泄风险。
权限提升模式
| 模式 | 严重程度 | 关键操作组合 | MITRE |
|---------|----------|------------------------|-------|
| Lambda PassRole 提升 | 严重 (Critical) | iam:PassRole + lambda:CreateFunction | T1078.004 |
| EC2 实例配置文件滥用 | 严重 (Critical) | iam:PassRole + ec2:RunInstances | T1078.004 |
| CloudFormation PassRole | 严重 (Critical) | iam:PassRole + cloudformation:CreateStack | T1078.004 |
| 自行附加策略提升 | 严重 (Critical) | iam:AttachUserPolicy + sts:GetCallerIdentity | T1484.001 |
| 内联策略自行提升 | 严重 (Critical) | iam:PutUserPolicy + sts:GetCallerIdentity | T1484.001 |
| 策略版本后门 | 严重 (Critical) | iam:CreatePolicyVersion + iam:ListPolicies | T1484.001 |
| 凭据收割 | 高 (High) | iam:CreateAccessKey + iam:ListUsers | T1098.001 |
| 用户组权限提升 | 高 (High) | iam:AddUserToGroup + iam:ListGroups | T1098 |
| 密码重置攻击 | 高 (High) | iam:UpdateLoginProfile + iam:ListUsers | T1098 |
| 服务级通配符 | 高 (High) | iam:* 或 s3:* 或 ec2:* | T1078.004 |
IAM 风险项严重程度指南
| 风险类型 | 条件 | 严重程度 |
|-------------|-----------|----------|
| 全局管理员通配符 | Action=* Resource=* | 严重 (Critical) |
| 公共主体 | Principal: '*' | 严重 (Critical) |
| 危险操作组合 | 双操作权限提升路径 | 严重 (Critical) |
| 单一权限提升操作 | 作用于通配符资源 | 高 (High) |
| 数据外泄操作 | s3:GetObject, secretsmanager:GetSecretValue 作用于 * | 高 (High) |
| 服务通配符 | service:* 操作 | 高 (High) |
| 指定资源的数据操作 | 范围合理 | 低/正常 (Low/Clean) |
最小权限建议
对于每个严重或高危风险项，工具会输出一个 least_privilege_suggestion 字段，提供具体的修复指导：
将 Action: * 替换为所需的具体操作列表

将 Resource: * 替换为具体的 ARN 模式

使用 AWS Access Analyzer 识别实际使用的权限

将危险的操作组合拆分到具有不同信任策略的不同角色中

---
S3 暴露评估
S3 评估从四个维度进行检查：公共访问阻止配置、存储桶 ACL、存储桶策略主体暴露以及默认加密。
S3 配置检查矩阵
| 检查项 | 风险条件 | 严重程度 |
|-------|------------------|----------|
| 公共访问阻止 | 四个标志位中任一缺失或为 false | 高 (High) |
| 存储桶 ACL | public-read-write | 严重 (Critical) |
| 存储桶 ACL | public-read 或 authenticated-read | 高 (High) |
| 存储桶策略主体 | "Principal": "*" 且为 Allow | 严重 (Critical) |
| 默认加密 | 无 ServerSideEncryptionConfiguration | 高 (High) |
| 默认加密 | 非标准 SSEAlgorithm | 中 (Medium) |
| 无公共访问阻止配置 | 状态未知 | 中 (Medium) |
推荐的 S3 基线配置

eEncryptionConfiguration": {
    "Rules": [{
      "ApplyServerSideEncryptionByDefault": {
        "SSEAlgorithm": "aws:kms",
        "KMSMasterKeyID": "arn:aws:kms:region:account:key/key-id"
      },
      "BucketKeyEnabled": true
    }]
  },
  "ACL": "private"
}

# 错误：将产生关键级 (Critical) 发现
resource "aws_iam_policy" "bad_policy" {
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Effect   = "Allow"
      Action   = "*"
      Resource = "*"
    }]
  })
}
正确：最小权限原则
resource "aws_iam_policy" "good_policy" {
  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Effect   = "Allow"
      Action   = ["s3:GetObject", "s3:PutObject"]
      Resource = "arn:aws:s3:::my-specific-bucket/*"
    }]
  })
}

# 1. 导出 IAM 策略文档
aws iam get-policy-version --policy-arn ARN --version-id v1 | \
  jq '.PolicyVersion.Document' > policy.json
python3 scripts/cloud_posture_check.py policy.json --check iam --json
2. 检查 S3 存储桶配置
aws s3api get-bucket-acl --bucket my-bucket > acl.json
aws s3api get-public-access-block --bucket my-bucket >> bucket.json
python3 scripts/cloud_posture_check.py bucket.json --check s3 --json
3. 审查安全组中开放的管理端口
aws ec2 describe-security-groups --group-ids sg-123456 | \
  jq '.SecurityGroups[0]' > sg.json
python3 scripts/cloud_posture_check.py sg.json --check sg --json

# 在 terraform apply 之前验证 IaC
terraform show -json plan.json | \
  jq '[.resource_changes[].change.after | select(. != null)]' > resources.json
python3 scripts/cloud_posture_check.py resources.json --check all --json
if [ $? -eq 2 ]; then
  echo "发现严重云安全问题 — 阻止部署"
  exit 1
fi
在修改前验证现有的 S3 存储桶
aws s3api get-bucket-policy --bucket "${BUCKET}" | jq '.Policy | fromjson' | \
  python3 scripts/cloud_posture_check.py - --check s3 \
  --severity-modifier regulated-data --json