Trusted Advisor 安全检查

AWS 可信顾问会根据 AWS 最佳实践检查您的账户，并提供按优先级排列的建议。

它涵盖五个类别：成本优化、性能、安全性、容错能力和服务限额。考试重点是其中的安全检查。

可信顾问的安全检查会发现常见的高风险设置，例如：

• 权限开放的S3 存储桶。
• 端口不受限制的安全组（例如允许从 0.0.0.0/0 访问 SSH）。
• IAM 的使用情况，以及是否已为根账户启用 MFA。

可信顾问检查的深度取决于您的支持计划。

• 基础版和开发者版计划可获得一组核心检查。
• 商业版和企业版计划可解锁所有类别的完整检查集。

更高级别的支持计划会提供更多安全检查。

每项检查都会显示一个状态：绿色（没有问题）、黄色（需要调查）或红色（建议采取措施）。

展开详细信息后，您可以看到受影响的资源和建议的修复方法。因此，可信顾问更适合快速检查运行状况，而不是进行深入调查。

检查会按计划刷新；完成更改后，您也可以手动刷新。

可信顾问可以发送每周电子邮件摘要并与 EventBridge 集成，因此状态变化可以触发自动警报或工作流程。

一项高价值的安全检查会确认根用户是否已启用 MFA。

根账户可以执行任何操作，因此应使用 MFA 加以保护，并尽量少用。可信顾问会将未启用根账户 MFA 标记为红色的必须修复发现结果。

虽然服务限额检查并不完全属于安全范畴，但它们对韧性十分重要。

如果在事件期间达到限额，例如无法启动替换实例，可能会延长中断时间。可信顾问会在您接近配额时发出警告，以便您提前申请提高限额。

两者都会突出显示配置错误，但有所不同：

• 可信顾问提供涵盖五个类别的广泛账户级最佳实践检查。
• 安全中心执行深入的安全标准检查，并汇总多个安全服务的发现结果。

安全中心是更深入、更专注于安全性的工具。

有了合适的支持计划，可信顾问可以提供组织视图，汇总所有账户的检查结果。

中央团队可以在一个地方查看哪些账户存在开放的安全组或缺少根用户 MFA，从而支持大规模治理。

可信顾问包含一项检查，用于扫描公共代码仓库中与您的账户相关联的暴露的 IAM 访问密钥。

如果开发人员意外地将密钥提交到公共代码仓库，这项检查可以将其标记出来，以便您在攻击者滥用密钥之前撤销并轮换密钥。这是针对一种非常常见的入侵原因的重要预警信号。

请使用可信顾问进行快速的最佳实践健康检查，尤其适用于开放的 S3 存储桶、完全开放的安全组以及缺少根用户 MFA 等经典错误配置。

当场景需要的是 AWS 整理的快速建议列表，而不是深入分析时，它就是首选工具。

为任务选择合适的工具。

您已经了解可信顾问如何检查最佳实践。

• 其安全类别会标记开放的存储桶、过于宽松的安全组以及缺少根用户 MFA。
• 检查深度取决于支持计划；更高等级的计划会解锁所有检查。
• 它提供组织视图和 EventBridge 警报。