漏洞评估与威胁检测 - 使用 Amazon Inspector 和 GuardDuty 实现持续安全监控
解析利用 Amazon Inspector 和 Amazon GuardDuty 进行漏洞评估和威胁检测的设计与运维方法。
云安全中漏洞评估的重要性
维护云环境的安全需要早期发现漏洞和持续监控威胁。软件漏洞每天都有新发现，CVE（通用漏洞披露）数据库每年注册超过 2 万个漏洞。在本地环境中需要引入 Nessus 或 Qualys 等漏洞扫描器，手动管理定期扫描计划、分析扫描结果和确定补丁优先级。AWS 提供 Amazon Inspector 和 Amazon GuardDuty 两个托管安全服务，分别负责漏洞评估和威胁检测。
Amazon Inspector 的持续漏洞扫描
Amazon Inspector 是自动且持续扫描 EC2 实例、Lambda 函数和 ECR 容器镜像漏洞的服务。与传统的定期扫描不同，Inspector 在新 CVE 发布时自动重新评估，立即识别受影响的资源。对 EC2 实例同时扫描操作系统包和编程语言包，提供基于 CVE 的漏洞评分（CVSS）和 AWS 独有的风险评分。AWS 独有的风险评分除漏洞严重度外还考虑网络可达性和漏洞利用的可用性，提供实践性的优先级排序。
Amazon GuardDuty 的威胁检测与事件响应
Amazon GuardDuty 是利用机器学习和威胁情报检测 AWS 环境中恶意活动和异常行为的服务。自动分析 VPC 流日志、CloudTrail 事件日志和 DNS 查询日志，检测加密货币挖矿、非法 API 调用、数据泄露和恶意软件通信等威胁。GuardDuty 只需启用即可开始工作，无需构建日志收集或分析基础设施。检测结果按严重度（High、Medium、Low）分类，通过与 Security Hub 的集成实现统一管理。
Inspector 与 GuardDuty 的集成运维
结合 Inspector 和 GuardDuty 可以实现漏洞管理和威胁检测的集成安全运维。Inspector 检测的漏洞信息和 GuardDuty 检测的威胁信息汇集到 AWS Security Hub。Security Hub 以 AWS Security Finding Format（ASFF）统一这些信息，提供优先级排序和仪表板显示。实践性的运维流程是：Inspector 检测到高风险漏洞时通过 Systems Manager Patch Manager 自动打补丁，GuardDuty 检测到高严重度威胁时通过 EventBridge 触发 Lambda 自动隔离受影响资源。
Inspector 与 GuardDuty 的定价
Inspector 的 EC2 扫描每实例月额约 1.258 美元，ECR 容器扫描每镜像首次约 0.09 美元 + 重新扫描约 0.01 美元。Lambda 函数扫描每函数月额约 0.30 美元。GuardDuty 的 CloudTrail 管理事件分析每 100 万事件约 4.00 美元，VPC 流日志每 GB 约 1.00 美元。两个服务都有 30 天免费试用。
总结 - 构建持续安全监控
Inspector 的持续漏洞扫描和 AWS 独有的风险评分使得可以按实践性优先级应对漏洞。GuardDuty 基于机器学习的威胁检测可以捕获传统规则检测难以发现的高级威胁。结合 Security Hub 的统一管理和 EventBridge 的自动修复，可以大幅缩短从检测到响应的时间。