漏洞评估与威胁检测 - 利用 Amazon Inspector 和 GuardDuty 实现持续安全监控

云安全中漏洞评估的重要性

云环境安全的基础是尽早发现漏洞和持续监控威胁。软件漏洞每天都有新的发现，CVE（Common Vulnerabilities and Exposures）数据库中每年登记 2 万个以上的漏洞。在本地环境中，需要引入 Nessus 或 Qualys 等漏洞扫描器，并手动进行定期扫描计划的管理、扫描结果的分析以及补丁应用的优先级排序。AWS 提供 Amazon Inspector 和 Amazon GuardDuty 这 2 个托管安全服务，将漏洞评估和威胁检测自动化。Inspector 持续扫描工作负载的漏洞，GuardDuty 实时检测整个 AWS 环境中的威胁。将两项服务组合使用，覆盖预防性安全（消除漏洞）和检测性安全（发现威胁）两个方面。

通过 Amazon Inspector 进行持续漏洞扫描

Amazon Inspector 是一项自动且持续地扫描 EC2 实例、Lambda 函数和 ECR 容器镜像漏洞的服务。与传统的定期扫描不同，Inspector 会在安装新软件包、应用补丁、发布影响资源的新 CVE 时，自动重新扫描资源。对于 EC2 实例，它会扫描操作系统软件包和编程语言软件包两者，并提供基于 CVE 的漏洞评分（CVSS）和 AWS 独有的风险评分。AWS 独有的风险评分在漏洞严重程度之外，还考虑网络可达性和漏洞利用代码的可用性，进行实用的优先级排序。在 ECR 容器镜像的扫描中，推送镜像时会自动执行扫描，通过将其纳入 CI/CD 管道，实现部署前的漏洞检查。以下是使用 AWS CLI 查看 Inspector 扫描结果的示例。

# 按严重程度顺序获取 Inspector 的检测结果
aws inspector2 list-findings \
  --filter-criteria '{"severity": [{"comparison": "EQUALS", "value": "CRITICAL"}]}' \
  --sort-criteria '{"field": "SEVERITY", "sortOrder": "DESC"}' \
  --region ap-northeast-1

Inspector 对 EC2 的扫描有通过 SSM Agent 收集软件清单的基于代理的方法，以及通过 EBS 快照收集的无代理方法。使用无代理方法时，可以在不向实例安装额外软件的情况下开始漏洞评估。

通过 Amazon GuardDuty 进行威胁检测与事件响应

Amazon GuardDuty 是一项利用机器学习和威胁情报，检测 AWS 环境中恶意活动和未经授权行为的服务。它自动分析 VPC 流日志、CloudTrail 事件日志和 DNS 查询日志，检测加密货币挖矿、未经授权的 API 调用、数据泄露、恶意软件通信等威胁。GuardDuty 启用后便开始运行，可以在不自行收集日志、不自行构建分析平台的情况下使用。检测结果按严重程度（Critical、High、Medium、Low）分类，通过与 Security Hub 集成，可以进行统一管理。GuardDuty Malware Protection 提供 EC2 实例和 EBS 卷的恶意软件扫描，在检测到可疑活动时自动执行扫描。GuardDuty EKS Protection 分析 Kubernetes 的审计日志，检测容器环境特有的威胁。通过与 EventBridge 集成，可以使用 Lambda 函数实现基于检测结果的自动修复操作（更改安全组、禁用 IAM 策略等）。

Inspector 与 GuardDuty 的集成运维

将 Inspector 和 GuardDuty 组合使用，可以构建将漏洞管理和威胁检测整合在一起的安全运维。Inspector 检测到的漏洞信息和 GuardDuty 检测到的威胁信息会汇总到 AWS Security Hub。Security Hub 以 AWS Security Finding Format（ASFF）统一这些信息，并提供优先级排序和仪表板显示。作为运维流程的一个例子，有这样的组合：Inspector 检测到高风险漏洞时，通过 Systems Manager Patch Manager 自动应用补丁。在该组合中，GuardDuty 检测到威胁时，经由 EventBridge 通过 Lambda 函数执行自动隔离。以下是通过 EventBridge 规则将 Inspector 的 CRITICAL 检测结果通知到 SNS 的配置示例。

{
  "source": ["aws.inspector2"],
  "detail-type": ["Inspector2 Finding"],
  "detail": {
    "severity": ["CRITICAL"]
  }
}

通过与 Organizations 集成，在多账户环境中也可以进行统一的安全管理。可以从委托管理员账户汇总 / 管理所有成员账户的 Inspector 扫描结果和 GuardDuty 检测结果。Security Hub 将检测结果统一为 ASFF 格式，因此可以用于与第三方工具的集成。

Inspector 与 GuardDuty 的费用

Inspector 的 EC2 扫描为每个实例每月约 1.258 美元，ECR 容器扫描为每个镜像首次约 0.09 美元 + 重新扫描约 0.01 美元（截至 2026 年 8 月）。Lambda 函数扫描为每个函数每月约 0.30 美元。GuardDuty 的 CloudTrail 管理事件分析为每 100 万个事件约 4.00 美元，VPC 流日志为每 1 GB 约 1.00 美元。免费试用期为 Inspector 15 天、GuardDuty 30 天。

总结 - 构建持续安全监控

借助 Inspector 的持续漏洞扫描和 AWS 独有的风险评分，可以按照实用的优先级处理漏洞。GuardDuty 通过威胁情报和机器学习检测可疑活动。将基于 Security Hub 的统一管理与基于 EventBridge 的自动修复组合起来，将从检测到响应的过程自动化。Inspector 的特点是以 CVE 发布为契机的自动重新扫描和无代理扫描，GuardDuty 的特点是不定义规则也可以使用的检测。