01 · 错误配置的分类学
错误配置不是随机失误，而是有稳定复发模式的系统性风险。参照CIS各云平台Benchmark的章节结构（Identity and Access Management、Logging、Monitoring、Networking、Storage等），本课题将其归纳为五大类别：
为什么错误配置如此高发？三个结构性原因：①云的默认即开放——新存储桶、新安全组、新IAM角色的默认权限远大于业务需要；②配置面爆炸——一个中型组织云上资源配置项可达百万量级，人工核查不可行；③变更速度——快速弹性特征下资源分钟级生灭，评审流程跟不上。因此检测必须自动化（CSPM）、基线必须代码化（Policy as Code），这是第6页工具链的根本逻辑。
02 · 存储与数据面错误配置
| 高危模式 | 风险机制 | 检测要点 |
|---|---|---|
| 对象存储公开可读（public-read bucket） | 任何互联网用户无需凭证即可下载全部对象——Deep Root Analytics（2017，约1.98亿条美国选民记录）与多起政府存储桶事件均属此类 | 枚举全部桶的公开访问配置；区分"故意公开"与"失误公开"需结合对象标签与访问日志 |
| 对象存储公开可写/可列举 | 可被用于托管恶意内容、投毒或作为数据外传通道；可列举泄露对象名便于定向窃取 | 检查Put/List权限是否授予匿名主体（principal: *） |
| 备份与快照未加密/跨账号共享 | 绕过生产库加密管控形成"明文副本"；跨账号共享快照扩大暴露面 | 核查快照加密属性与共享白名单 |
| 数据库直接暴露公网（公网IP+弱认证） | 扫描器分钟级发现，暴力破解与漏洞利用的初始入口；多起Elasticsearch/Redis公开节点事件（如Exactis 2018）属此类 | 安全组入站规则核查+端口暴露面扫描 |
| 存储桶策略中内嵌凭证文件 | 代码包、配置备份中的AK/SK、数据库连接串被同步入桶 | 敏感内容扫描（secret scanning）+桶策略最小化双管 |
重点机制——"可列举"是放大器：公开可列举的存储桶使攻击者无需猜测对象名即可遍历下载；而即便不可列举，公开可读+可猜测的对象名（如备份文件按日期命名）同样可被定向命中。治理基线：默认全部私有，公开访问需经安全审批并在CSPM中登记为例外。
03 · IAM治理与权限最小化
IAM错误配置是横向移动的核心燃料。本课题归纳的高频模式与治理动作如下：
| 高危模式 | 风险机制 | 治理动作 |
|---|---|---|
| 通配符权限（*:* 或 service:*） | 单凭证失陷=全账号失陷；Capital One事件中元数据凭证即因角色权限过宽得以读取S3 | CIEM工具分析权限使用数据，按"90天未使用"建议回收；策略lint工具阻断*:*合入 |
| 长期访问密钥长期不轮换 | 泄露窗口无限放大；员工离职后凭证仍可用的残余风险 | 全面替换为临时凭证（OIDC联邦/角色扮演），长期密钥列入例外清单并强制90天轮换 |
| 控制台账号无MFA | 口令爆破/钓鱼即可接管；属CIS Benchmark各云平台"Identity"章节的Level 1基线项 | 根账号强制硬件密钥，全部控制台用户强制MFA，API-only用户禁用控制台 |
| 跨账号角色信任过宽（信任外部账号/通配主体） | 第三方账号可扮演角色获取权限，供应链事件的经典横向路径 | 信任策略主体白名单化；外部账号信任需双人复核 |
| 实例角色"一角色多用" | 某应用被攻陷后角色权限可辐射所有挂载该角色的实例 | 按应用拆分角色，权限按运行时实际调用收敛 |
| 权限边界缺失（Permissions Boundary未用） | 委托管理员创建的角色可能超出预期权限范围 | 组织级权限边界强制应用，角色创建流水线中静态检查 |
3.1 最小权限的度量：从"能否做"到"是否做过"
传统权限审查回答"该角色能做什么"（静态权限集），CIEM方法进一步回答"该角色实际用过什么"（CloudTrail等服务记录的API调用数据）。二者之差即收敛空间。工程基线：90天未调用的权限进入回收流程，30天内被阻断调用（ExplicitDeny生效）的权限确认后移除。该方法对存量环境尤其有效——直接按理论最小值裁权会产生大面积业务中断，而基于使用数据的渐进收敛风险可控。
04 · 网络与日志基线错误配置
4.1 网络面
- 安全组0.0.0.0/0入站：管理端口（22/3389/数据库端口）对全网开放属最高危项之一；治理上区分"业务必需开放"（应经WAF/堡垒机中转）与"失误开放"，CSPM按端口白名单核查。
- 默认VPC与默认安全组复用：资源未经网络规划直接落入默认网络，隔离逻辑失效；基线为禁用默认网络或强制变更审批。
- 无网络分段与东西向管控：单VPC内所有资源互通，单点失陷即全网可达；应对齐最小分段（按业务域/环境）与网络ACL。
- 未使用但保留的弹性IP/旧安全组：历史遗留入口成为遗忘的暴露面；资产盘点（第6页）中"无主资源"专项清理。
4.2 日志与审计面
- 控制面日志未开启（如CloudTrail未全区域启用）：事后无取证数据，也无法支撑CIEM使用分析——属"C有配置、实则裸奔"的典型。
- 日志留存期不足：中国《网络安全法》第21条要求网络日志留存不少于六个月；仅依赖平台默认短周期留存不合规。
- 日志账户未独立：日志与生产在同一账号内，攻击者删日志即可湮灭痕迹；基线为独立日志账号+只追加存储+访问分离。
- 告警未接通处置流：GuardDuty/Security Hub/云安全中心类服务开启但告警无人处置，等于未开启；需定义告警分派SLA与升级路径。
05 · 元数据服务与SSRF防护基线（三件套）
云实例元数据服务（IMDS）是虚拟机内访问自身元数据与临时角色凭证的链路。2019年Capital One事件中，攻击者利用Web应用防火墙组件的SSRF漏洞访问EC2实例的IMDS端点，窃取临时凭证后读取S3——该事件使"IMDS安全"成为云安全的显学。纵深防御三件套：
5.1 三件套基线条目
| 防护层 | 基线要求 | 核查方式 |
|---|---|---|
| ① IMDSv2强制 | 全部实例启动配置强制HttpTokens=required；存量实例分批切换；非必要不开放PUT操作到实例侧 | CSPM核查实例元数据选项；不可强制的例外清单化 |
| ② 角色最小化 | 实例角色仅授予业务必需的S3前缀与操作；禁止s3:*级别的宽泛授权；敏感操作（DeleteObject等）单独审批 | CIEM使用分析+策略静态检查 |
| ③ SSRF出口收敛 | 应用侧阻断对169.254.0.0/16链路本地地址段的请求；出口NAT/WAF对元数据端点默认拒绝；云防火墙层双保险 | 代码审计（SSRF sinks清单）+出口流量检测 |
要点：IMDSv2以"先PUT获取会话令牌、再凭令牌GET"的机制使无令牌的重放/盲SSRF利用失效，大幅抬高攻击门槛，但并不替代角色最小权限——若应用存在令牌回显型漏洞或角色权限过宽，残余风险仍在。三件套必须同时落地、分别度量。
06 · 严重度分级与检测规则编写方法
6.1 错误配置严重度分级模型
| 等级 | 判定维度 | 典型例子 | 处置SLA建议 |
|---|---|---|---|
| 严重 | 无需凭证即可访问敏感数据/接管管理面 | 存储桶公开可读含敏感数据；根账号无MFA；安全组对全网开放数据库端口 | 24小时内修复 |
| 高危 | 单凭证失陷即可导致数据泄露或横向移动 | *:* IAM权限；长期密钥未轮换；跨账号信任过宽 | 7天内修复 |
| 中危 | 扩大攻击面或削弱审计可见性 | 日志未全区域开启；安全组端口范围过宽；无权限边界 | 30天内修复 |
| 低危 | 基线偏离但可利用性低 | 标签缺失、命名不规范、非关键资源未加密 | 纳入例行变更窗口 |
6.2 检测规则编写要点（CSPM/策略即代码通用）
- 规则结构："作用域（账号/区域/资源类型）+ 条件（配置属性）+ 例外机制（标签白名单）+ 严重度 + 修复指引"五要素齐备，避免只有告警没有处置指引的"孤儿规则"。
- 控制误报：任何"公开访问"类规则必须排除业务已登记的公开资产（官网静态资源CDN回源等）；例外清单需设有效期与复审责任人，防止例外常态化。
- 双通道验证：声明式基线（Terraform/策略即代码，预防漂移）+ CSPM运行时核查（发现存量与紧急变更），二者结果差异即变更管理盲区。
- 与合规映射联动：每条规则标注其支撑的CIS Benchmark编号、CCM控制域与等保条款（第4、7页），使技术核查结果可直接转化为合规证据。
本节参考来源（第3页）
以下均为真实可查的权威来源，用于支撑本页事实性表述。
CSA Top Threats系列报告（Top Threats to Cloud Computing，历版均将配置错误列为首要威胁类别）：cloudsecurityalliance.org。
CIS Benchmarks（AWS Foundations Benchmark、Azure、GCP及Kubernetes等，含IAM/Logging/Networking章节基线）：cisecurity.org/cis-benchmarks。
AWS《Instance Metadata and User Data》官方文档（IMDSv2会话令牌机制说明）与《Add defense in depth against SSRF attacks with enhancements to the EC2 Instance Metadata Service》（AWS Security Blog）：docs.aws.amazon.com。
Capital One事件披露（2019年7月）与美国司法部起诉、判决公开材料（2022年定罪）：capitalone.com/facts2019、justice.gov。
OWASP《Server Side Request Forgery Prevention Cheat Sheet》：owasp.org。
《中华人民共和国网络安全法》第21条（网络日志留存不少于六个月）：中国人大网公布文本。