动手实验室 — SCS-C03 AWS Certified Security Specialty

概述

先决条件

步骤

1. 1.选择我们的 Terraform 版本和 AWS 区域

   标准开场。SCS-C03 在范围上与提供商和区域无关，但安全基线需要按区域应用——GuardDuty 和 Access Analyzer 是区域服务。大多数团队会选择一个主区域（例如 us-east-1）作为基线，并随着账户的扩展通过 Terraform 将其复制到每个区域。

   复制

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       aws = {
         source  = "hashicorp/aws"
         version = "~> 5.60"
       }
     }
   }
   
   provider "aws" {
     region = "us-east-1"
   
     default_tags {
       tags = {
         Project   = "certlabpro-scs-c03"
         ManagedBy = "terraform"
       }
     }
   }
   
   data "aws_caller_identity" "current" {}

2. 2.创建带有轮换功能的客户管理型 KMS 密钥用于应用程序数据加密

   配置服务：

   • AWS KMS

   SCS-C03 考察AWS 管理型 KMS 密钥（免费，自动轮换，您无法控制密钥策略）和客户管理型密钥（每月 1 美元，您拥有策略，您控制轮换，通过 CloudTrail 可以审计每个加密/解密调用）之间的区别。生产环境应始终选择客户管理型密钥。

   我们启用年度轮换 (enable_key_rotation = true)，并编写一个密钥策略，赋予账户根用户管理密钥的能力（这是任何客户管理型密钥的 AWS 默认设置），并明确授予 IAM Access Analyzer 服务评估密钥策略的权限。别名使得密钥可以在下游代码中通过人类可读的名称而非 UUID 引用——SCS-C03 将这种命名约定作为 CloudTrail 审计的先决条件进行考察。

   复制

   resource "aws_kms_key" "app_data" {
     description             = "Customer-managed key for application data encryption."
     enable_key_rotation     = true
     deletion_window_in_days = 30
   
     policy = jsonencode({
       Version = "2012-10-17"
       Statement = [
         {
           Sid       = "EnableRootAccountAdmin"
           Effect    = "Allow"
           Principal = { AWS = "arn:aws:iam::${data.aws_caller_identity.current.account_id}:root" }
           Action    = "kms:*"
           Resource  = "*"
         },
         {
           Sid       = "AllowAccessAnalyzerToDescribe"
           Effect    = "Allow"
           Principal = { Service = "access-analyzer.amazonaws.com" }
           Action    = ["kms:DescribeKey", "kms:GetKeyPolicy"]
           Resource  = "*"
         },
       ]
     })
   }
   
   resource "aws_kms_alias" "app_data" {
     name          = "alias/certlabpro-scs-c03-app-data"
     target_key_id = aws_kms_key.app_data.id
   }

3. 3.开启 IAM Access Analyzer 以捕获意外的公共或跨账户访问

   配置服务：

   • AWS IAM Access Analyzer

   Access Analyzer 持续评估基于资源的策略（S3 存储桶策略、KMS 密钥策略、IAM 角色信任策略、Lambda 权限、SQS 队列策略、Secrets Manager 轮换策略等），并在检测到可从您的账户或信任边界外部访问的资源时生成一个发现。SCS-C03 的威胁检测与事件响应领域正是考察这种模式——Access Analyzer 发现是“哦，这个存储桶现在是公共的”这一情况的典型信号。

   type = "ACCOUNT" 将分析器范围限定为您的账户；type = "ORGANIZATION" 需要 AWS Organizations 才能跨整个组织进行范围限定（这是 SCS-C03 多账户方案的答案）。无论哪种方式，一旦启用，它始终免费且无需配置。

   复制

   resource "aws_accessanalyzer_analyzer" "main" {
     analyzer_name = "certlabpro-scs-c03"
     type          = "ACCOUNT"
   }

4. 4.启用 GuardDuty，以便在遭受实际攻击时收到通知

   配置服务：

   • Amazon GuardDuty

   GuardDuty 是 AWS 的托管威胁检测服务。它根据 AWS 的威胁情报源——已发布的已知恶意 IP 列表、加密货币挖矿域、命令和控制基础设施以及可疑账户行为模式——持续分析 CloudTrail、VPC 流日志和 DNS 日志。发现结果会标记严重性（低/中/高）和机器可解析的类型，例如 Recon:EC2/PortProbeUnprotectedPort。

   我们以 15 分钟的发布频率启用检测器（比 6 小时的默认频率更快；SCS-C03 关于 MTTR 的问题几乎总是假设频繁发布）。基于 IAM 的保护插件（MALWARE_PROTECTION_FOR_EC2、S3_DATA_EVENTS 等）需要额外付费，并且超出此基线的范围；在生产环境中应按工作负载启用它们。

   发现结果会自动发布到 EventBridge——这是下游自动化（Slack 通知、Security Hub 关联、自动修复 Lambda）接入的方式。SCS-C03 反复考察这种发现 → EventBridge → 响应的链条。我们在此不连接下游，但步骤 4 完成后，GuardDuty 将开始发布。

   复制

   resource "aws_guardduty_detector" "main" {
     enable                       = true
     finding_publishing_frequency = "FIFTEEN_MINUTES"
   }

5. 5.将所有内容存入集中式审计日志存储桶，用于保留和审查

   配置服务：

   • Amazon S3

   每个 SCS-C03 安全日志记录和监控问题都要求您拥有一个集中式、加密的、一次写入式存储桶，供其他安全工具（CloudTrail、VPC 流日志、ELB 访问日志、GuardDuty 导出、Config 记录器）写入。该存储桶使用步骤 2 中的客户管理型 KMS 密钥进行加密，公共访问被完全阻止，并且存储桶策略强制规定任何写入的对象都必须通过步骤 2 中的密钥（不接受明文写入）。

   我们使用 bucket-owner-enforced 所有权设置（自 2023 年起 AWS 推荐的禁用 ACL 模式）——这是 SCS-C03 上最常考察的 S3 强化属性之一，因为它消除了整类跨账户 ACL 配置错误。

   有了这个存储桶，基线就完成了：KMS 用于加密密钥，Access Analyzer 用于意外暴露，GuardDuty 用于威胁检测，以及一个审计存储桶用于所有需要保留以进行合规性审查的内容。每个 SCS-C03 多服务场景都期望您拥有这四个功能；更高级的问题会在这个基础上添加 Security Hub、Config、Inspector 或 Macie。

   复制

   resource "aws_s3_bucket" "audit_logs" {
     bucket_prefix = "certlabpro-scs-c03-audit-"
   }
   
   resource "aws_s3_bucket_public_access_block" "audit_logs" {
     bucket = aws_s3_bucket.audit_logs.id
   
     block_public_acls       = true
     block_public_policy     = true
     ignore_public_acls      = true
     restrict_public_buckets = true
   }
   
   resource "aws_s3_bucket_ownership_controls" "audit_logs" {
     bucket = aws_s3_bucket.audit_logs.id
   
     rule {
       object_ownership = "BucketOwnerEnforced"
     }
   }
   
   resource "aws_s3_bucket_server_side_encryption_configuration" "audit_logs" {
     bucket = aws_s3_bucket.audit_logs.id
   
     rule {
       apply_server_side_encryption_by_default {
         sse_algorithm     = "aws:kms"
         kms_master_key_id = aws_kms_key.app_data.arn
       }
       bucket_key_enabled = true # cuts KMS request costs ~99% on bulk writes
     }
   }
   
   resource "aws_s3_bucket_versioning" "audit_logs" {
     bucket = aws_s3_bucket.audit_logs.id
     versioning_configuration {
       status = "Enabled"
     }
   }
   
   resource "aws_s3_bucket_policy" "audit_logs_require_kms" {
     bucket = aws_s3_bucket.audit_logs.id
   
     policy = jsonencode({
       Version = "2012-10-17"
       Statement = [{
         Sid       = "DenyUnencryptedWrites"
         Effect    = "Deny"
         Principal = "*"
         Action    = "s3:PutObject"
         Resource  = "${aws_s3_bucket.audit_logs.arn}/*"
         Condition = {
           StringNotEquals = {
             "s3:x-amz-server-side-encryption" = "aws:kms"
           }
         }
       }]
     })
   }

清理