VPC Network Access Analyzer
自动分析 VPC 全域网络访问路径，检测意外互联网暴露和过度访问权限的安全分析工具
概述
VPC Network Access Analyzer 是一项全面分析 VPC 内网络访问路径，自动检测违反安全策略的访问路由的服务。与 Reachability Analyzer 验证特定两点间可达性不同，Network Access Analyzer 以整个 VPC 为对象全面分析「哪些资源可从哪里访问」。可检测意外的互联网暴露、跨 VPC 的非预期访问、过于宽松的安全组规则等安全风险。
网络访问范围的设计
Network Access Analyzer 通过定义「网络访问范围 (Network Access Scope)」来指定要分析的访问模式。访问范围由匹配条件 (Match) 和排除条件 (Exclude) 组成。例如定义「从互联网到任何 EC2 实例的入站访问」作为匹配条件，「到公共子网中 ALB 的访问」作为排除条件，即可检测绕过 ALB 直接暴露到互联网的 EC2 实例。预定义范围模板覆盖常见安全检查 (互联网入站、互联网出站、跨 VPC 访问等)，也可创建自定义范围。范围定义考虑安全组、网络 ACL、路由表、VPC 对等连接、Transit Gateway 等所有网络组件。
检测结果分析与修复操作
分析执行后，违反访问范围的路径作为「发现 (Finding)」报告。每个发现包含完整的网络路径 (源 → 安全组 → 路由表 → 目标)，可精确定位哪个配置导致了非预期访问。发现按严重程度分类，优先处理高风险项。典型的修复操作包括：收紧安全组规则、修改路由表删除不必要的路由、调整网络 ACL。与 Security Hub 集成可将发现作为安全发现集中管理，与 Config 规则联动可持续监控合规状态。
安全审计与合规应用
Network Access Analyzer 在安全审计和合规检查中非常有价值。PCI DSS 要求网络分段隔离持卡人数据环境，可通过定义「从非 CDE 网段到 CDE 网段的访问」范围来验证隔离是否完整。定期执行分析 (推荐每周) 可检测配置漂移导致的安全退化。Organizations 集成可从管理账户分析所有成员账户的 VPC，实现组织范围的网络安全态势评估。分析结果可导出为 JSON 用于自动化处理或合规报告生成。