识别安全组件和资源
发布: (2026年1月3日 GMT+8 14:39)
5 分钟阅读
原文: Dev.to
Source: Dev.to
请提供您想要翻译的具体文本内容，我将按照要求保留源链接、格式和技术术语，仅翻译正文部分。谢谢！
考试指南：云从业者 – 领域 2：安全与合规
任务说明 2.4
您需要了解：
- 核心 AWS 安全功能（网络控制、威胁检测、DDoS 防护、网页防护）
- 在何处查找 AWS 安全文档和指南
- 第三方安全工具 可通过 AWS Marketplace 获取
- 哪些 AWS 服务可以帮助 识别安全问题（例如 Trusted Advisor）
1️⃣ AWS 安全功能与服务概览
安全组 (SGs)
- 为 Amazon EC2 等资源提供的虚拟防火墙。
- 控制 入站和出站 流量。
- 通常为 有状态（返回流量会自动被允许）。
使用 SG 的场景： 需要对实例/资源层面的流量进行控制（端口、协议、源/目的地）。
网络 ACL (NACLs)
- 在 VPC 中 子网 级别的防火墙。
- 控制子网的 入站和出站 规则。
- 通常为 无状态（返回流量必须显式允许）。
使用 NACL 的场景： 需要对子网范围内的允许/拒绝规则进行管理，包括显式拒绝。
AWS Web Application Firewall (WAF)
- 保护 Web 应用免受常见漏洞攻击的 Web 应用防火墙。
- 过滤/监控 HTTP(S) 请求（例如 SQL 注入、XSS）。
使用 WAF 的场景： 想要在边缘/前端阻止恶意 Web 请求或强制执行 Web 规则。
AWS Firewall Manager
- 用于安全规则和策略的集中管理服务。
- 帮助在 多个账户和资源（通常在 AWS Organizations 中）之间配置和管理防护（例如 WAF 规则）。
使用 Firewall Manager 的场景： 需要在大量账户中实现一致的安全策略执行。
AWS Shield
- 防御 DDoS 攻击 的服务。
- 常用于面向互联网的应用。
使用 Shield 的场景： 场景中提到 DDoS、流量攻击，或需要在攻击期间保持公共端点可用。
Amazon GuardDuty
- 威胁检测服务，监控可疑活动和未授权行为。
- 使用账户活动、网络/DNS 模式等信号生成发现。
使用 GuardDuty 的场景： 需要持续的威胁检测和对可能受损资源或账户的警报。
2️⃣ 第三方安全产品
AWS Marketplace
AWS Marketplace 提供满足以下需求的第三方安全工具：
- SIEM / 日志分析
- 端点防护
- 漏洞扫描
- 网络安全设备
在哪里获取 AWS 的第三方安全解决方案？ → AWS Marketplace
3️⃣ 在哪里可以找到 AWS 安全信息
- AWS Security Center – 集中的安全指南和最佳实践。
- AWS Security Blog – 有关 AWS 安全主题的公告和深入解析。
- AWS Knowledge Center – 操作指南文章和故障排除步骤。
| 需求 | 来源 |
|---|---|
| 官方指南 / 最佳实践 | AWS Security Center |
| 最新更新和详细帖子 | AWS Security Blog |
| 操作指南 / 故障排除 | AWS Knowledge Center |
4️⃣ 使用 AWS 服务识别安全问题
AWS Trusted Advisor
扫描您的环境，并在多个类别（包括 Security）中提供最佳实践建议。
使用 Trusted Advisor 的情形： 您希望获得标记常见安全风险和配置错误的建议（以及其他最佳实践领域）。
✅ 快速考试式摘要
- Security Groups: 实例级防火墙（有状态）。
- Network ACLs: 子网级防火墙（无状态）。
- AWS WAF: Web 请求过滤/保护。
- AWS Firewall Manager: 跨账户/资源的集中策略管理。
- AWS Shield: DDoS 防护。
- Amazon GuardDuty: 威胁检测结果。
- AWS Marketplace: 第三方安全产品。
- Security info sources: AWS Security Center、AWS Security Blog、AWS Knowledge Center。
- AWS Trusted Advisor: 通过最佳实践检查识别安全问题。