你接手了一個雜亂的雲端環境。從何開始？

針對你未設計且還未完全理解的 AWS、Azure 或 GCP 環境，提供實用的前 90 天安全加固計畫。

你剛接手一個雲端帳戶（或十幾個），是某人花三年時間建構的，沒有文件、輪流使用承包商，還有一個叫 #aws-help 的 Slack 頻道，自 2022 年以來就沒人用過。這在雲端安全工作中是最常見的情況之一，而且會讓人感到不安，因為你要為一個你還解釋不出來的東西負責。

以下是如何在不費力過度的情況下，從零可見性達到可防禦的狀態。

停止猜測，先進行盤點

你無法保護看不到的東西。在修改任何 IAM 政策之前，先執行盤點：

AWS：執行 aws organizations list-accounts 查看完整的帳戶結構，然後用 Steampipe 或 AWS Config 聚合器將各帳戶的資源提取到一個可查詢的檢視中。
Azure：跨訂閱執行 Resource Graph 查詢（az graph query），因為 Azure 的租户/訂閱模型容易隱藏分散的資源。
GCP：在組織層級執行 gcloud asset search-all-resources。

將此與帳單資料交叉參照。帳單不會騙你，即使標籤和文件會。如果你看到某個服務的支出，但沒人在入職時提過，那就是你的第一個發現。

錯誤設定會上頭條，但身份驗證通常是繼承環境中真正風險所在。提取每個 IAM 使用者、角色和服務帳戶，問三個問題：這個還需要存在嗎、它有未使用的存取權限嗎、它是人類還是機器。

執行 AWS IAM Access Analyzer 或 iam-lint 風格的工具來標記過去 90 天未使用的權限。實務上，繼承的帳戶幾乎總是有至少一個 IAM 使用者持有長期的存取金鑰，原本應該被

本文由 AI 協助撰寫，經 Michal Pilch（CISSP）審核並發佈，Korra Studio。