VPC Network Access Analyzer
自动分析 VPC 全域网络访问路径，检测意外互联网暴露和过度访问权限的安全分析工具
概述
VPC Network Access Analyzer 是一项分析 VPC 内网络访问路径，自动检测违反安全策略的访问路由的服务。与 Reachability Analyzer 验证特定两点间可达性不同，Network Access Analyzer 以整个 VPC 为对象分析「哪些资源可从哪里访问」。可检测意外的互联网暴露、跨 VPC 的非预期访问、过于宽松的安全组规则等安全风险。
网络访问范围的设计
Network Access Analyzer 通过定义「网络访问范围 (Network Access Scope)」来指定要分析的访问模式。访问范围由匹配条件 (Match) 和排除条件 (Exclude) 组成。例如定义「从互联网到任何 EC2 实例的入站访问」作为匹配条件，「到公共子网中 ALB 的访问」作为排除条件，即可检测绕过 ALB 直接暴露到互联网的 EC2 实例。预定义范围模板覆盖互联网入站、互联网出站、VPC 的出入访问等检查，也可创建自定义范围。范围定义会考虑安全组、网络 ACL、路由表、VPC 对等连接、Transit Gateway 等网络组件。
检测结果分析与修复操作
分析执行后，违反访问范围的路径作为「发现 (Finding)」报告。每个发现包含完整的网络路径 (源 → 安全组 → 路由表 → 目标)，可精确定位哪个配置导致了非预期访问。处理时优先应对高风险项。修复操作的例子包括：收紧安全组规则、修改路由表删除不必要的路由、调整网络 ACL。
安全审计与合规应用
据用户指南，Network Access Analyzer 有助于说明 AWS 上的网络满足合规要求。PCI DSS 要求网络分段隔离持卡人数据环境，可通过定义「从非 CDE 网段到 CDE 网段的访问」范围来验证隔离是否完整。定期执行分析有助于发现配置漂移导致的安全退化。用户指南说明，分析只覆盖执行分析的账户和区域内的网络路径，不报告包含其他账户或区域资源的路径 (截至 2026 年 10 月)。分析结果可导出为 JSON 用于自动化处理或合规报告生成。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。