在相關(guān)授權(quán)完成后，單擊【同意授權(quán)并完成配置】，就能開啟“安全體檢”的流程了，路徑相對直接。
據(jù)系統(tǒng)提示，首次“安全體檢”需要耗時6小時，在全部流程都走完后會把檢測結(jié)果統(tǒng)一放到自動生成的“體檢報告”中，并通過短信或郵件的方式告知。
在經(jīng)歷了漫長的6個小時后，整個體檢流程終于是走完了，趕緊下載看看都有哪些安全風險。
最先看到的是當前云資產(chǎn)的整體分布及安全風險最多的相關(guān)資產(chǎn)。
資產(chǎn)類型的整體分布可以清晰的梳理出云上資產(chǎn)的概況，幫助使用者及時準確的掌握云上資產(chǎn)的類型和數(shù)量。同時將安全風險較多的相關(guān)資產(chǎn)進行統(tǒng)計，可以幫助運維人員發(fā)現(xiàn)云上風險暴露面，及時進行處置，提高安全水位。
看完資產(chǎn)安全風險概況，就可以看到本次安全體檢識別出來的云上產(chǎn)品安全配置風險，比如圖中標出來的安全組不當配置、未開啟備份、對象存儲安全配置不當?shù)取?/p>
之后就是我最為關(guān)心的“合規(guī)風險概況”了，經(jīng)過安全體檢的識別和評估，一共發(fā)現(xiàn)了計算環(huán)境配置風險482個、物理環(huán)境配置風險33個、區(qū)域邊界配置風險193個。
合規(guī)風險概況是按照等級保護等合規(guī)要求，對云上資產(chǎn)進行合規(guī)風險的評估，提供云上自動化持續(xù)合規(guī)評估能力。例如CVM-安全組配置檢查項，就是根據(jù)等保2.0第三級安全要求中的，安全通用要求-安全區(qū)域邊界-訪問控制（8.1.3.2）來對云上的CVM的安全組配置進行動態(tài)檢查的。
比較讓人意外的是，除了對云環(huán)境自身的檢測和評估外，這個體檢報告中還使用了安全運營中心高級版中的互聯(lián)網(wǎng)攻擊面測繪功能，對云上的互聯(lián)網(wǎng)暴露端口、服務(wù)及組件進行了全面盤點。
至此，本次安全體檢的體驗分享就告一段落了。下面簡單總結(jié)一下本人對這個“免費云安全體檢”功能觀點。
1、體檢的項目非常齊全，甚至還使用了高級版的相關(guān)功能進行檢測；
2、報告中的各項結(jié)果顯示得條理清晰、簡單易懂，就算不是很懂安全的人也能看明白問題所在，適合用來跟領(lǐng)導(dǎo)匯報；
3、免費！還有比這更重要的嗎？
是的你沒看錯，正所謂“由儉入奢易由奢入儉難”，這次報告中體現(xiàn)了互聯(lián)網(wǎng)攻擊面的概況，領(lǐng)導(dǎo)肯定會要求我們在以后的安全日志中也需要體現(xiàn)這一項內(nèi)容，這要是讓我們自己動手查……唉，不說了，準備找領(lǐng)導(dǎo)審批預(yù)算買個公有云SOC高級版來用了。
