Day-332-AWS 安全监控

# Day 349: AWS 安全监控 - CloudTrail/CloudWatch/GuardDuty/Security Hub

> 云安全系列第 9 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

## 清单 目录

1. [安全监控概述](#安全监控概述)
2. [CloudTrail 审计](#cloudtrail-审计)
3. [CloudWatch 监控](#cloudwatch-监控)
4. [GuardDuty 检测](#guardduty-检测)
5. [Security Hub](#security-hub)
6. [安全最佳实践](#安全最佳实践)
7. [总结与思考](#总结与思考)
8. [参考资料](#参考资料)

---

## 安全监控概述

### 监控架构

**监控层次**：
```
日志层:
- CloudTrail
- VPC Flow Logs
- S3 Access Logs

指标层:
- CloudWatch Metrics
- 自定义指标
- 业务指标

检测层:
- GuardDuty
- Inspector
- Macie

聚合层:
- Security Hub
- 自定义仪表板
- SIEM 集成
```

**监控流程**：
```
收集:
- 日志收集
- 指标收集
- 事件收集

分析:
- 实时分析
- 批量分析
- 关联分析

响应:
- 自动告警
- 自动响应
- 人工响应
```

---

## CloudTrail 审计

### CloudTrail 基础

**审计内容**：
```
管理事件:
- 控制台操作
- API 调用
- 资源变更

数据事件:
- S3 对象操作
- Lambda 调用
- 详细日志

洞察事件:
- 异常 API
- 异常调用
- 异常行为
```

**日志配置**：
```
跟踪类型:
- 区域跟踪
- 全区域跟踪
- 组织跟踪

日志交付:
- S3 存储
- CloudWatch Logs
- EventBridge
```

### 日志分析

**日志结构**：
```json
{
  "eventVersion": "1.08",
  "userIdentity": {
    "type": "IAMUser",
    "userName": "example-user"
  },
  "eventTime": "2024-01-01T00:00:00Z",
  "eventSource": "s3.amazonaws.com",
  "eventName": "GetObject",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "192.168.1.1",
  "requestParameters": {
    "bucketName": "example-bucket",
    "key": "example-key"
  }
}
```

**查询分析**：
```
常用查询:
- 特权操作
- 策略变更
- 凭证使用
- 资源删除

异常检测:
- 异常时间
- 异常地点
- 异常频率
- 异常操作
```

### 安全监控

**关键事件**：
```
身份事件:
- 登录失败
- MFA 禁用
- 凭证创建

权限事件:
- 策略变更
- 角色创建
- 权限提升

资源事件:
- 安全组变更
- 密钥删除
- 日志禁用
```

**告警配置**：
```
EventBridge 规则:
- 事件模式
- 目标配置
- 重试策略

告警目标:
- SNS 通知
- Lambda 函数
- Security Hub
```

---

## CloudWatch 监控

### 指标监控

**安全指标**：
```
网络指标:
- 网络流量
- 连接数
- 拒绝连接

计算指标:
- CPU 使用
- 内存使用
- 磁盘 IO

应用指标:
- 请求数
- 错误率
- 响应时间
```

**自定义指标**：
```
业务指标:
- 登录次数
- 失败尝试
- 敏感操作

安全指标:
- 扫描次数
- 攻击次数
- 异常次数
```

### 日志分析

**日志组**：
```
系统日志:
- OS 日志
- 应用日志
- 安全日志

AWS 日志:
- Lambda 日志
- API Gateway 日志
- ECS 日志
```

**日志洞察**：
```
查询语言:
- fields 指定字段
- filter 过滤条件
- stats 统计分析
- sort 排序

常用查询:
- 错误日志
- 访问日志
- 安全日志
```

### 告警配置

**告警规则**：
```
阈值告警:
- 静态阈值
- 动态阈值
- 复合条件

异常检测:
- 异常检测模型
- 自动基线
- 异常告警
```

**告警动作**：
```
通知:
- SNS 通知
- Email 通知
- SMS 通知

自动响应:
- Lambda 函数
- Auto Scaling
- EC2 动作
```

---

## GuardDuty 检测

### 检测能力

**威胁检测**：
```
凭证泄露:
- 异常 API 调用
- 异常地理位置
- 异常时间访问

恶意活动:
- 加密货币挖矿
- C2 通信
- 数据渗出

侦察活动:
- 端口扫描
- 权限枚举
- 资源探测
```

**检测来源**：
```
CloudTrail 事件:
- API 调用
- 用户活动
- 资源变更

VPC Flow Logs:
- 网络流量
- 连接分析
- 异常流量

DNS 日志:
- DNS 查询
- 恶意域名
- 异常查询
```

### 发现管理

**发现类型**：
```
严重性:
- Low: 低严重性
- Medium: 中严重性
- High: 高严重性
- Critical: 严重

类别:
- Reconnaissance
- InitialAccess
- Persistence
- PrivilegeEscalation
- DefenseEvasion
- CredentialAccess
- Discovery
- LateralMovement
- Collection
- Exfiltration
- Impact
```

**发现响应**：
```
自动响应:
- EventBridge 触发
- Lambda 响应
- 自动封禁

手动响应:
- 调查分析
- 威胁根除
- 恢复重建
```

---

## Security Hub

### Hub 功能

**安全态势**：
```
安全评分:
- 0-100 分
- 控制检查
- 合规状态

发现聚合:
- 多服务发现
- 去重处理
- 统一管理
```

**合规检查**：
```
标准:
- CIS AWS Foundations
- PCI-DSS
- AWS Foundational Security Best Practices

控制项:
- 自动检查
- 手动检查
- 持续监控
```

### 集成管理

**服务集成**：
```
检测服务:
- GuardDuty
- Inspector
- Macie
- Firewall Manager

合规服务:
- Config
- Systems Manager
- IAM Access Analyzer
```

**工作流**：
```
发现管理:
- 发现聚合
- 状态管理
- 注释跟踪

自动响应:
- EventBridge 集成
- Lambda 响应
- 自动修复
```

---

## 安全最佳实践

### 日志管理

**日志保护**：
```
存储安全:
- 加密存储
- 访问控制
- 不可篡改

日志完整性:
- 日志文件验证
- 哈希校验
- 链式验证
```

**日志保留**：
```
保留策略:
- 合规要求
- 业务需求
- 成本考虑

生命周期:
- 热存储 (90 天)
- 温存储 (1 年)
- 冷存储 (7 年)
```

### 监控策略

**监控覆盖**：
```
全面监控:
- 所有区域
- 所有服务
- 所有账户

重点监控:
- 特权操作
- 敏感数据
- 关键资源
```

**响应流程**：
```
告警分级:
- P1: 严重
- P2: 高
- P3: 中
- P4: 低

响应 SLA:
- P1: 15 分钟
- P2: 1 小时
- P3: 4 小时
- P4: 24 小时
```

---

## 总结与思考

### 核心要点回顾

1. **监控架构**：日志层、指标层、检测层、聚合层
2. **CloudTrail**：审计内容、日志配置、安全监控
3. **CloudWatch**：指标监控、日志分析、告警配置
4. **GuardDuty**：威胁检测、发现管理、发现响应
5. **Security Hub**：安全态势、合规检查、集成管理
6. **最佳实践**：日志管理、监控策略、响应流程

### 深入思考

**监控挑战**：
- 数据量大
- 误报率高
- 技能要求

**发展趋势**：
- AI 驱动检测
- 自动化响应
- 统一平台

### 最佳实践

**配置**：
- 全面日志
- 实时监控
- 自动响应

**运营**：
- 持续优化
- 定期演练
- 能力提升

---

## 参考资料

### 学习资源

- **AWS CloudTrail**: https://docs.aws.amazon.com/cloudtrail/
- **AWS CloudWatch**: https://docs.aws.amazon.com/cloudwatch/
- **AWS GuardDuty**: https://docs.aws.amazon.com/guardduty/
- **AWS Security Hub**: https://docs.aws.amazon.com/securityhub/

### 工具资源

- **CloudTrail Lake**: https://aws.amazon.com/cloudtrail/features/cloudtrail-lake/
- **Security Hub Insights**: https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-insights.html

---

*Day 349 完成 | AWS 安全监控详解 | 字数：约 15,000 字*