基于 Skills 的华为云全栈安全审计：覆盖网络、安全组、IAM 与监控告警 4 个维度

案例介绍：针对企业云网络架构复杂度高、安全组规则混乱、端口暴露面不可控、访问权限缺乏审计、网络故障难以定位等核心痛点，依托 AI Shell 和华为云网络查询、计算查询、IAM 身份查询、监控告警等系列技能，实现从网络拓扑盘点、安全组审查、IAM 权限审计到监控告警加固的全流程安全治理，有效提升网络架构透明度与安全合规水平。

一、概述

1.1 案例介绍

AI Shell：智能 AI 命令行工具，以自然语言驱动终端操作，无需熟记复杂指令，大幅降低使用门槛，一站式完成华为云资源查询、操作、运维工作，让终端操作更高效、更智能。让华为云更好用、更易用。

华为云网络资源查询技能（huawei-cloud-network-query）：只读查询技能，覆盖 VPC、子网、安全组、网络ACL、路由表、EIP、ELB 负载均衡、NAT 网关、VPN 网关、DNS 域名等全量网络资源，帮助快速梳理网络拓扑、审查安全组规则、核查负载均衡配置，是网络架构治理的核心技能。

华为云计算资源查询技能（huawei-cloud-computing-query）：只读查询技能，覆盖 ECS 实例、规格、密钥对、安全组绑定关系等计算资源，帮助掌握计算资源分布与网络关联，为网络架构规划提供资源拓扑依据。

华为云 IAM 身份查询技能（huawei-cloud-iam-query）：只读查询技能，覆盖用户、用户组、策略、委托、AK/SK、MFA 设备、密码策略、安全合规等身份与访问管理资源，帮助审计账号权限配置、排查越权风险、验证安全合规状态。

华为云监控查询技能（huawei-cloud-monitoring-query）：只读查询技能，覆盖告警规则、告警历史、告警模板、仪表盘、资源分组等监控资源，帮助掌握当前监控覆盖情况，识别监控盲区。

华为云 ECS 告警技能（huawei-cloud-ecs-alert）：基于 CES 云监控服务的 ECS 告警自动化技能，支持批量创建告警规则、配置多通道通知、查询监控指标，为网络关键节点补齐监控告警能力。

核心价值：

• 架构透明：一键盘点全网拓扑，VPC/子网/路由/安全组一目了然
• 安全可视：安全组规则全量审查，端口暴露风险即时识别
• 权限审计：IAM 策略与 AK/SK 全量核查，越权风险精准定位
• 监控加固：识别监控盲区，一键补齐关键节点告警配置
• 合规闭环：从盘点到审查到加固到验证的完整安全治理流程

二、完整实操流程

登录 AI Shell

阶段一：网络架构盘点

步骤 1：梳理 VPC 与子网拓扑

▶️ 在 AI Shell 中输入以下指令（可直接复制执行）：

查询当前区域所有 VPC 及其子网信息，输出 VPC ID、名称、CIDR、子网列表及可用 IP 数量

AI Shell 执行过程：

AI Shell 识别用户意图为"查询 VPC 与子网列表"，自动调用 huawei-cloud-network-query 技能，通过 Python SDK 向华为云 VPC 服务发起查询请求，获取当前区域下所有虚拟私有云及其子网的详细信息，并汇总可用 IP 地址数量。

AI Shell 执行结果：

共查询到 1 个 VPC，1 个子网：

| 序号 | VPC ID（脱敏）          | VPC 名称    | CIDR           | 子网数 | 子网名称      | 子网 CIDR       | 可用 IP |
|------|-------------------------|-------------|----------------|--------|---------------|-----------------|---------|
| 1    | 98a64866-****-****-**** | vpc-default | 192.168.0.0/16 | 1      | subnet-default| 192.168.0.0/24  | 250     |

分析：当前环境仅有 1 个默认 VPC，子网可用 IP 充足（250/251），网络拓扑结构简单。
建议：生产环境建议至少划分 Web/DB 双 VPC 或多子网，实现网络层隔离。

步骤 2：查询路由表与弹性公网 IP

▶️ 在 AI Shell 中输入以下指令（可直接复制执行）：

查询当前区域所有路由表和弹性公网 EIP 信息，输出路由表 ID、关联 VPC、路由条目及 EIP 地址、带宽

AI Shell 执行过程：

AI Shell 识别用户意图为"查询路由表与 EIP 列表"，自动调用 huawei-cloud-network-query 技能，分别向 VPC 路由表接口和 EIP 接口发起查询请求，获取路由表详情和弹性公网 IP 列表。

AI Shell 执行结果：

路由表（1 个）：

| 路由表 ID（脱敏）       | 名称          | 关联 VPC       | 路由条目数 | 默认路由           |
|-------------------------|---------------|----------------|------------|--------------------|
| cf339701-****-****-**** | rtb-default   | vpc-default    | 1          | local（本地路由）  |

弹性公网 IP（1 个）：

| EIP ID（脱敏）          | 公网地址（脱敏） | 带宽类型   | 带宽大小 | 绑定资源类型 | 绑定资源 ID（脱敏）   |
|-------------------------|------------------|------------|----------|--------------|-----------------------|
| c85690db-****-****-**** | 120.46.**.***    | PER（独享）| 5 Mbit/s | ECS          | 18129322-****-****-***|

分析：路由表仅有本地路由，未配置 NAT 网关路由或 VPN 连接路由。
EIP 绑定至 ECS 实例，独享带宽 5Mbit/s。
建议：如需内网访问外网，应添加 NAT 网关并配置 SNAT 规则；如需跨地域互联，应配置 VPN 或专线。

步骤 3：查询负载均衡与 NAT 网关配置

▶️ 在 AI Shell 中输入以下指令（可直接复制执行）：

查询当前区域所有 ELB 负载均衡器和 NAT 网关信息，检查网络出口配置

AI Shell 执行过程：

AI Shell 识别用户意图为"查询 ELB 与 NAT 网关"，自动调用 huawei-cloud-network-query 技能，向 ELB 和 NAT 网关服务接口发起查询请求。

AI Shell 执行结果：

ELB 负载均衡器：0 个
NAT 网关：0 个
网络 ACL（防火墙）：0 个
VPC 流日志：0 个

分析：当前环境未配置负载均衡器和 NAT 网关，网络出口仅依赖 EIP 直连模式。
- 无 ELB：单点 ECS 直接暴露公网，缺乏流量分发和高可用能力
- 无 NAT 网关：内网资源无法通过统一出口访问外网
- 无网络 ACL：VPC 级别缺少子网间访问控制
- 无流日志：网络流量不可追溯，故障排查缺乏数据支撑

建议：
1. 对公网服务引入 ELB 负载均衡，实现流量分发与健康检查
2. 配置 NAT 网关 + SNAT 规则，统一内网出口
3. 启用 VPC 流日志，记录网络流量用于审计和故障定位

阶段二：安全组审查与计算资源关联

步骤 4：安全组规则全量审查

▶️ 在 AI Shell 中输入以下指令（可直接复制执行）：

查询当前区域所有安全组及其规则详情，输出安全组 ID、名称、入站规则、出站规则

AI Shell 执行过程：

AI Shell 识别用户意图为"查询安全组规则"，自动调用 huawei-cloud-network-query 技能，向 VPC 安全组接口发起查询请求，获取所有安全组及其入站/出站规则详情。

AI Shell 执行结果：

共查询到 3 个安全组：

安全组 1：default（系统默认）
- 安全组 ID（脱敏）：1d87bd12-****-****-****
- 入站规则：6 条
  | 优先级 | 协议 | 端口范围  | 源地址          | 动作   | 风险评估     |
  |--------|------|-----------|-----------------|--------|--------------|
  | 100    | TCP  | 22        | 0.0.0.0/0       | 允许   | ⚠️ 高风险    |
  | 100    | TCP  | 80        | 0.0.0.0/0       | 允许   | 中风险       |
  | 100    | TCP  | 443       | 0.0.0.0/0       | 允许   | 中风险       |
  | 100    | TCP  | 3389      | 0.0.0.0/0       | 允许   | ⚠️ 高风险    |
  | 100    | ICMP | 全部      | 0.0.0.0/0       | 允许   | 低风险       |
  | 100    | 全部 | 全部      | 192.168.0.0/16  | 允许   | 内网互通     |
- 出站规则：1 条（全部允许）

安全组 2：Sys-FullAccess（系统全放通）
- 安全组 ID（脱敏）：6fcc3a62-****-****-****
- 入站规则：6 条（全部 0.0.0.0/0 放通）
  | 优先级 | 协议 | 端口范围  | 源地址    | 动作   | 风险评估     |
  |--------|------|-----------|-----------|--------|--------------|
  | 100    | 全部 | 全部      | 0.0.0.0/0 | 允许   | ⚠️ 极高风险  |
- 出站规则：1 条（全部允许）

安全组 3：Sys-WebServer（系统 Web 服务器）
- 安全组 ID（脱敏）：b8636820-****-****-****
- 入站规则：9 条
  | 优先级 | 协议 | 端口范围  | 源地址          | 动作   | 风险评估     |
  |--------|------|-----------|-----------------|--------|--------------|
  | 100    | TCP  | 80        | 0.0.0.0/0       | 允许   | 中风险       |
  | 100    | TCP  | 443       | 0.0.0.0/0       | 允许   | 中风险       |
  | 100    | TCP  | 22        | 0.0.0.0/0       | 允许   | ⚠️ 高风险    |
  | 100    | TCP  | 3389      | 0.0.0.0/0       | 允许   | ⚠️ 高风险    |
  | 100    | TCP  | 3306      | 0.0.0.0/0       | 允许   | ⚠️ 高风险    |
  | 100    | TCP  | 8080      | 0.0.0.0/0       | 允许   | 中风险       |
  | 100    | TCP  | 8443      | 0.0.0.0/0       | 允许   | 中风险       |
  | 100    | ICMP | 全部      | 0.0.0.0/0       | 允许   | 低风险       |
  | 100    | 全部 | 全部      | 192.168.0.0/16  | 允许   | 内网互通     |
- 出站规则：1 条（全部允许）

安全风险汇总：
- ⚠️ Sys-FullAccess 安全组对所有流量全放通，风险极高
- ⚠️ SSH(22) 和 RDP(3389) 端口对 0.0.0.0/0 开放，存在暴力破解风险
- ⚠️ MySQL(3306) 端口对公网开放，存在数据库暴露风险
- 共 3 个安全组累计 21 条入站规则，规则冗余度高

建议：
1. 立即收紧 Sys-FullAccess 安全组，限制为最小必要端口
2. SSH/RDP 端口限制源 IP 为运维网段，而非 0.0.0.0/0
3. MySQL 端口仅允许内网访问，禁止公网暴露
4. 清理冗余规则，按最小权限原则重构安全组

步骤 5：ECS 实例网络关联核查

▶️ 在 AI Shell 中输入以下指令（可直接复制执行）：

查询当前区域所有 ECS 实例，输出实例 ID、名称、规格、状态、内网 IP、绑定安全组、磁盘信息

AI Shell 执行过程：

AI Shell 识别用户意图为"查询 ECS 实例详情"，自动调用 huawei-cloud-computing-query 技能，向 ECS 服务接口发起查询请求，获取实例列表、规格、网络接口、安全组绑定关系及磁盘信息。

AI Shell 执行结果：

共查询到 1 个 ECS 实例：

| 实例 ID（脱敏）          | 名称           | 规格        | vCPU | 内存  | 状态     | 可用区    |
|--------------------------|----------------|-------------|------|-------|----------|-----------|
| 18129322-****-****-****  | ecs-ubuntu-t6  | t6.small.1  | 1    | 1 GiB | SHUTOFF  | cn-north-4a|

网络接口信息：
| 网卡 ID（脱敏）          | 私网 IP（脱敏） | MAC 地址（脱敏）    | 绑定安全组 | 子网           |
|--------------------------|-----------------|---------------------|------------|----------------|
| 60582a04-****-****-****  | 192.168.0.**    | fa:16:3e:**:**:**   | default    | subnet-default |

磁盘信息：
| 磁盘 ID（脱敏）          | 类型       | 大小   | 启动盘 | 加密   |
|--------------------------|------------|--------|--------|--------|
| 2901bc44-****-****-****  | GPSSD      | 40 GB  | 是     | 否     |

密钥对信息：
| 密钥对名称                   | 指纹（脱敏）                        |
|------------------------------|-------------------------------------|
| teacher-attendance-keypair   | SHA256:MKWf****RF8Y                  |

分析：
- 实例当前处于关机状态（SHUTOFF），未运行任何服务
- 规格 t6.small.1（1vCPU/1GiB）为入门级，适合轻量负载
- 绑定 default 安全组，暴露 SSH/RDP 等高危端口
- 磁盘未启用加密，数据安全性不足

建议：
1. 启动实例前确认安全组规则已收紧
2. 对系统盘启用 EVS 加密，保护数据安全
3. 根据业务负载评估是否需要升级规格

阶段三：IAM 权限审计

步骤 6：用户与用户组审查

▶️ 在 AI Shell 中输入以下指令（可直接复制执行）：

查询当前账号所有 IAM 用户和用户组，输出用户 ID、名称、所属组、账号状态

AI Shell 执行过程：

AI Shell 识别用户意图为"查询 IAM 用户与用户组"，自动调用 huawei-cloud-iam-query 技能，通过 Python SDK 向 IAM 服务发起查询请求，获取用户列表、用户组列表及用户与组的关联关系。

AI Shell 执行结果：

IAM 用户（1 个）：

| 用户 ID（脱敏）   | 用户名（脱敏） | 所属用户组 | 状态   | 创建时间       |
|-------------------|----------------|------------|--------|----------------|
| 0be4ae8f****      | GT-c***e       | admin      | 活跃   | 2026-07-21     |

用户组（1 个）：

| 用户组 ID（脱敏） | 用户组名称 | 成员数 | 组类型   |
|-------------------|------------|--------|----------|
| bdf4b6ff****      | admin      | 1      | 管理组   |

账号概要：
| 项目             | 数值（脱敏）   |
|------------------|----------------|
| 委托数量         | 19             |
| 域 ID（脱敏）    | a860558f****   |

分析：
- 仅有 1 个 IAM 用户，且归属于 admin 管理组，权限高度集中
- 存在 19 个委托关系，委托链路复杂，需逐一审查
- 缺少运维、开发等角色分离的用户组，不符合最小权限原则

建议：
1. 按角色创建独立用户组（如 ops-group、dev-group、audit-group）
2. 为不同组分配最小必要策略，避免全员 admin 权限
3. 审查 19 个委托关系，清理不再使用的委托

步骤 7：AK/SK 与 MFA 安全检查

▶️ 在 AI Shell 中输入以下指令（可直接复制执行）：

查询当前账号所有 AK/SK 访问密钥和 MFA 多因素认证设备，检查安全认证状态

AI Shell 执行过程：

AI Shell 识别用户意图为"查询 AK/SK 与 MFA 设备"，自动调用 huawei-cloud-iam-query 技能，向 IAM 服务查询访问密钥列表和多因素认证设备状态。

AI Shell 执行结果：

AK/SK 访问密钥（2 个）：

| 密钥 ID（脱敏）   | 状态   | 创建时间   | 所属用户（脱敏） | 风险评估       |
|-------------------|--------|------------|------------------|----------------|
| HPUA***AQQMI      | 活跃   | 2026-07-21 | GT-c***e         | 正常           |
| HPUA***3ZUF       | 活跃   | 2026-07-21 | GT-c***e         | 正常           |

MFA 多因素认证（1 个）：

| MFA 类型 | 序列号（脱敏）                        | 所属用户（脱敏） | 状态   |
|----------|---------------------------------------|------------------|--------|
| U2F      | iam::a860558f****:mfa:u2f/c***e/***  | GT-c***e         | 已启用 |

分析：
- 2 个 AK/SK 均处于活跃状态，属于同一用户
- 已启用 U2F 硬件 MFA 认证，安全性较好
- 两个 AK/SK 建议区分用途（如一个用于 SDK、一个用于 CLI），并定期轮换

建议：
1. 为每个 AK/SK 标注用途，避免混用
2. 制定 AK/SK 定期轮换策略（建议每 90 天）
3. 确保 MFA 覆盖所有 IAM 用户，非仅管理员

步骤 8：密码策略与登录策略审查

▶️ 在 AI Shell 中输入以下指令（可直接复制执行）：

查询当前账号的密码策略和登录策略，输出密码最小长度、复杂度要求、登录锁定配置

AI Shell 执行过程：

AI Shell 识别用户意图为"查询密码策略与登录策略"，自动调用 huawei-cloud-iam-query 技能，向 IAM 服务查询账号密码策略和登录保护策略。

AI Shell 执行结果：

密码策略：

| 配置项             | 当前值       | 安全建议     | 合规状态 |
|--------------------|--------------|--------------|----------|
| 最小密码长度       | 6 字符       | ≥ 8 字符     | ⚠️ 不达标 |
| 最大密码长度       | 32 字符      | ≥ 32 字符    | ✅ 达标   |
| 密码中含大写字母   | 要求         | 要求         | ✅ 达标   |
| 密码中含小写字母   | 要求         | 要求         | ✅ 达标   |
| 密码中含数字       | 要求         | 要求         | ✅ 达标   |
| 密码中含特殊字符   | 要求         | 要求         | ✅ 达标   |

登录保护策略：

| 配置项             | 当前值       | 安全建议     | 合规状态 |
|--------------------|--------------|--------------|----------|
| 登录失败锁定阈值   | 5 次         | ≤ 5 次       | ✅ 达标   |
| 锁定时长           | 15 分钟      | ≥ 15 分钟    | ✅ 达标   |
| 最近一次登录验证   | 2026-07-21   | -            | -        |

分析：
- 密码最小长度仅 6 字符，低于安全合规要求的 8 字符
- 密码复杂度要求已覆盖大小写、数字、特殊字符，符合规范
- 登录锁定策略配置合理，5 次失败锁定 15 分钟

建议：
1. 将密码最小长度提升至 8 字符以上
2. 启用密码过期策略，强制定期更换密码
3. 考虑启用登录会话超时策略，降低会话劫持风险

阶段四：监控告警加固

步骤 9：监控覆盖情况盘点

▶️ 在 AI Shell 中输入以下指令（可直接复制执行）：

查询当前区域所有 CES 告警规则和告警历史，检查监控覆盖情况

AI Shell 执行过程：

AI Shell 识别用户意图为"查询 CES 告警规则与历史"，自动调用 huawei-cloud-monitoring-query 技能，向 CES 云监控服务发起查询请求。

AI Shell 执行结果：

CES 告警规则查询：
⚠️ 请求超时（API Timeout）

CES 告警历史查询：
⚠️ 请求超时（API Timeout）

企业项目（EPS）查询：
⚠️ 权限不足（403 Forbidden）

分析（真实环境发现）：
- CES 云监控 API 请求超时，可能原因：
  1. 当前区域 CES 服务端响应延迟
  2. 网络到 CES 服务端连通性异常
  3. API 请求并发或限流导致超时
- EPS 企业项目查询返回 403，当前账号缺少 EPS 读取权限
- 这两个发现本身即为安全治理需关注的问题：
  - 监控服务不可达 = 监控盲区风险
  - 权限不足 = 权限配置不完整

建议：
1. 排查 CES API 超时原因，检查网络连通性和服务端状态
2. 为当前账号补充 EPS 读取权限（eps:enterpriseProjects:list）
3. 在 CES 服务控制台手动确认告警规则配置情况
4. 确保 ECS 关键指标（CPU、内存、磁盘、网络）均有告警覆盖

步骤 10：SMN 通知主题与告警通道检查

▶️ 在 AI Shell 中输入以下指令（可直接复制执行）：

查询当前区域所有 SMN 通知主题，检查告警通知通道是否配置

AI Shell 执行过程：

AI Shell 识别用户意图为"查询 SMN 通知主题"，自动调用 huawei-cloud-ecs-alert 技能，向 SMN 消息通知服务发起查询请求，获取通知主题列表。

AI Shell 执行结果：

SMN 通知主题：0 个

CES 告警规则查询：
⚠️ 请求超时（API Timeout）

分析（真实环境发现）：
- 当前区域未创建任何 SMN 通知主题
- 即使创建告警规则，也缺少通知通道，告警无法送达
- CES API 仍超时，监控服务连通性问题持续存在

建议：
1. 创建 SMN 通知主题，添加邮件/短信/钉钉/企业微信等订阅
2. 在告警规则中关联 SMN 主题，确保告警可及时送达
3. 优先为 ECS 实例创建以下告警规则：
   - CPU 使用率 > 80% 持续 5 分钟
   - 内存使用率 > 80% 持续 5 分钟
   - 磁盘使用率 > 90% 持续 5 分钟
   - 网络入带宽 > 带宽上限 80% 持续 5 分钟
4. 排查 CES API 超时根因，恢复监控服务可用性

三、安全治理建议汇总

基于以上 5 个技能的真实查询结果，梳理当前环境安全治理全景：

3.1 网络架构层面

3.2 安全组层面

3.3 IAM 权限层面

3.4 监控告警层面

四、总结

本文以 网络架构规划与安全治理 为主题，通过 AI Shell 依次调用 5 个华为云官方技能，对真实云环境进行了全量安全审计：

关键收获：

1. 技能组合威力：5 个只读技能协同，覆盖网络→计算→身份→监控全链路，无需编写代码即可完成企业级安全审计
2. 真实环境洞察：CES API 超时和 EPS 权限不足是真实发现，说明监控服务连通性和权限配置本身就是安全治理需关注的问题
3. 安全治理闭环：从盘点（网络/计算）→ 审查（安全组/IAM）→ 加固（监控/告警）→ 建议（治理汇总），形成完整闭环
4. 数据驱动决策：所有发现基于真实查询数据（非模拟），安全建议精准对应实际风险，可直接指导治理行动

技能清单：