网络安全控制器中的关键概念

注意

AWS Shield 网络安全控制器处于公开预览版中，可能会发生变化。

资源

处理应用程序流量的计算、网络和安全资源：

• 计算 — Amazon 弹性计算云实例

• 联网 — 应用程序负载均衡器、Amazon API 网关、亚马逊 CloudFront 分配、VPC 子网和 VPC 弹性网络接口 () ENIs

• 安全 — AWS WAF 网络 ACLs、VPC 安全组和 VPC 网络访问控制列表 (NACLs)

调查发现

有关网络安全服务缺失或配置错误的警报，严重性级别为 “无”、“信息”、“低”、“中”、“高” 或 “严重”。网络安全控制器通过评估每种资源的配置设置和威胁情报来生成调查结果。

严重性

根据 AWS 最佳实践和威胁情报，衡量资源对潜在安全事件的脆弱性。严重性评估会考虑潜在漏洞和现有保护措施。资源的严重性级别与其最严重的发现相匹配，或者如果没有发现，则显示为 “无”。

网络拓扑

网络的可视化表示，显示资源连接、Internet 曝光率和基于标签的关系。使用拓扑视图调查资源及其发现。

了解网络安全主管的调查结果

注意

AWS Shield 网络安全控制器处于公开预览版中，可能会发生变化。

网络安全总监会为其分析的每种资源生成具体的调查结果。这些发现可帮助您识别安全问题并采取适当的措施。下表按资源类型列出了所有可能的调查结果。

按资源类型划分的网络安全控制器调查结果

资源类型	调查结果说明
应用程序负载均衡器	是 CloudFront 发行版的幕后黑手，但也暴露在互联网上 缺少来自机器人的保护 有 DDo S 活动 缺少防火墙保护 防火墙配置错误 有未配置的防火墙 无法抵御请求泛滥的侵害 未受到网络漏洞的保护
Amazon API Gateway	缺少来自机器人的保护 缺少防火墙保护 防火墙配置错误 有未配置的防火墙 无法抵御请求泛滥的侵害 未受到网络漏洞的保护
Amazon CloudFront	缺少来自机器人的保护 有 DDo S 活动 缺少防火墙保护 防火墙配置错误 有未配置的防火墙 无法抵御请求泛滥的侵害 未受到网络漏洞的保护
Amazon 弹性计算云 (EC2) 实例	允许在所有端口上从所有 IP 范围进行入站访问 允许通过远程桌面协议端口（端口 3389）从所有 IP 范围进行入站访问 允许通过 SSH 端口（端口 22）从所有 IP 范围进行入站访问 允许对所有端口上的所有 IP 范围进行出站访问 位于没有防火墙保护的 Application Load Balancer 后面 在 Application Load Balancer 后面，该负载均衡器位于 CloudFront 发行版后面，但也暴露在互联网上 是没有防火墙保护的 CloudFront 发行版的幕后黑手 缺少来自机器人的保护 无法抵御请求泛滥的侵害 位于配置错误的防火墙后面 位于未配置的防火墙后面 位于无法抵御网络漏洞的资源背后
VPC 安全组	允许在所有端口上从所有 IP 范围进行入站访问 允许通过远程桌面协议端口（端口 3389）从所有 IP 范围进行入站访问 允许通过 SSH 端口（端口 22）从所有 IP 范围进行入站访问 允许对所有端口上的所有 IP 范围进行出站访问
VPC 网络访问控制列表 (NACL)	允许在所有端口上从所有 IP 范围进行入站访问 允许通过远程桌面协议端口（端口 3389）从所有 IP 范围进行入站访问 允许通过 SSH 端口（端口 22）从所有 IP 范围进行入站访问 允许对所有端口上的所有 IP 范围进行出站访问
AWS WAF Web ACL	有机器人活动 缺少来自机器人的保护 配置错误 未附加到任何资源 未配置为防范请求洪水 没有规则 未配置为防御 Web 漏洞