常见云配置错误
识别暴露的 S3 存储桶、公开快照、不安全的安全组和默认凭据。
常见云配置错误 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
云配置错误为何重要
配置错误是导致云数据泄露的首要原因。传统本地环境中的漏洞通常需要利用软件缺陷，而云配置错误往往是自身造成的，互联网上的任何人都可以轻易利用。
公开的 S3 存储桶
具有公开读取权限的 S3 存储桶会将其中存储的任何数据暴露到互联网。攻击者会使用 GrayhatWarfare 等工具扫描开放的存储桶。预防措施：在账户层面启用 S3 Block Public Access，启用 S3 Object Ownership，并定期审计存储桶策略。
权限过于宽松的安全组
在端口 22（SSH）、3389（RDP）或管理端口上对 0.0.0.0/0 开放的安全组会形成巨大的攻击面。请将入站规则限制为特定的 CIDR 范围。使用 AWS Systems Manager Session Manager 代替开放的 SSH。
公开的 RDS 快照
意外地将 RDS 快照公开共享会暴露整个数据库的内容。自动快照默认为私有，但手动共享可能暴露敏感数据。请使用 describe-db-snapshots --include-public 审计快照的可见性。
代码中的硬编码凭证
开发人员会将 AWS 访问密钥、数据库密码和应用程序接口令牌提交到 Git 仓库。攻击者会使用 TruffleHog 和 GitLeaks 等工具扫描 GitHub/GitLab。预防措施：使用机密信息管理器、git-secrets 预提交钩子，以及在整个组织范围内进行机密信息扫描。
缺少 CloudTrail 日志记录
如果没有在所有区域启用 CloudTrail，应用程序接口调用就不会被记录。攻击者会利用日志记录缺口来进行不被察觉的活动。在整个组织范围内启用 CloudTrail，并将日志发送到独立安全账户中的 S3 存储桶，同时启用 S3 Object Lock 以防止篡改。
IMDS v1 漏洞
IMDSv1 允许 EC2 实例上的任何进程在未经身份验证的情况下查询元数据服务，使攻击者能够通过 SSRF 攻击窃取实例凭证。请在所有实例上强制使用 IMDSv2（需要令牌），要求采用面向会话的身份验证。
不受限制的出站流量
安全组通常允许所有出站流量。这会使受入侵实例能够进行数据外泄和命令与控制通信。请通过安全组、网络访问控制列表或防火墙设备实施出口过滤，将出站连接限制为已知目标。
暴露的管理面板
未进行身份验证且通过公共 IP 暴露的 Kubernetes 控制面板、Elasticsearch 集群、MongoDB 实例和 Jupyter 笔记本经常会遭到入侵。每个管理接口都必须要求身份验证，并受到网络访问限制。
对象级日志记录已禁用
仅记录 S3 数据事件和 CloudTrail 管理事件仍会遗漏对象级操作（GetObject、PutObject）。请为敏感存储桶启用 S3 Server Access Logging 和 CloudTrail S3 数据事件，以检测数据外泄尝试。
修复自动化
带有自动修复功能的 AWS Config 规则（通过 SSM Automation 文档或 Lambda）可以自动修复违规问题：将存储桶设为私有、关闭安全组规则，或隔离凭证，从而将暴露时间从数天缩短至数分钟。
知识检查
在 EC2 实例上保持启用 IMDSv1 的主要风险是什么？
总结
云配置错误——公开的存储桶、权限宽松的安全组、硬编码凭证和缺失的日志——是云环境遭到入侵最常见的原因。自动扫描、强制实施防护规则和持续监控是必要的防御措施。
常见问题解答
「常见云配置错误」课时是免费的吗？
是的 — 「常见云配置错误」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「常见云配置错误」这节课中我会学到什么？
识别暴露的 S3 存储桶、公开快照、不安全的安全组和默认凭据。 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「常见云配置错误」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。