技能介绍

云上安全事故很少源于应用本身的漏洞，更多是配置层面的疏漏：一个能 iam:PassRole 的角色配上 lambda:CreateFunction，就构成一条完整的提权路径；S3 存储桶少开一项公网访问阻断，数据就可能被任意读取；安全组对 0.0.0.0/0 开放 22 或 3306 端口，意味着把管理面和数据面暴露给整个互联网。更麻烦的是，这些错误配置通常不会让系统报错，它们只是安静地扩大攻击面。本技能针对的正是这一类「沉默的风险」，提供一套结构化的云安全配置评估方法。

核心能力

技能内置 cloud_posture_check.py，支持三类检查：iam（提权路径）、s3（公网暴露）和 sg（网络暴露）。工具会自动识别配置文件结构并推断检查类型，也可以通过 --check 显式指定。退出码对应明确的处置策略：0 表示无高危发现，1 表示需在 24 小时内修复，2 表示发现严重问题，应立即阻断部署并上报。

IAM 分析 覆盖多种提权组合，例如 iam:PassRole + ec2:RunInstances、内联策略自我提权、策略版本后门等，并映射到 MITRE ATT&CK 编号；同时识别凭证窃取和过度授予的服务级通配权限。每个高危发现会附带最小权限修改建议。
S3 评估 检查四项公网访问阻断配置是否完整启用、桶 ACL 是否包含 public-read-write、桶策略的 Principal 是否为 *、以及默认加密是否启用且算法合规。
安全组分析 标记对互联网 CIDR 开放管理端口（22、3389）、全流量（0–65535）以及数据库端口（1433、3306、5432 等）的规则，并按资源是否面向公网、是否处理合规数据调整严重等级。
IaC 审查 支持 Terraform、CloudFormation、Kubernetes 清单和 Helm 图表，在资源真正部署之前拦截危险配置。

工作方式

快速检查适合新资源上线前或预部署评审：导出配置 JSON，运行检查脚本，按退出码决定放行、限期修复或阻断。完整评估可以分三天推进——先梳理生产环境全部 IAM 策略与提权路径，再审计存储与网络安全组配置，最后审查版本库中的 IaC 模板并产出按优先级排序的修复计划。也可以把检查嵌入 CI/CD 流水线，让配置错误在合并或发布阶段就被拦截。

适用边界

本技能做的是预防性的配置分析，不是事件响应，不做运行时行为检测，也不扫描应用层漏洞。分析效果取决于输入的配置文件是否完整——IAM 提权往往藏在非管理员策略的组合里，只检查明显高权限的策略会漏掉风险。S3 的公网阻断需要在账户级和桶级同时启用，只开一层可能被桶级设置覆盖。对面向公网的资源和涉及 PCI、HIPAA、GDPR 数据的工作负载，应配合 --severity-modifier 调整严重等级，避免用一套标准覆盖所有场景。