查看安全屋边界风险

基本概念

使用该功能前，请先了解以下名词的含义。

前提条件

已创建安全屋，并已经在安全屋内添加了资源，详见添加资源章节。

支持的通道风险列表

当前支持9种通道风险列表，详见表2。

查看可视化拓扑图

1. 登录DSC服务控制台。
2. 在左侧导航栏中，选择“数据安全屋”，进入“数据安全屋”控制台。
3. 在左侧导航栏中，选择“持续运营 > 边界风险”，进入“边界风险”页面。
4. 在“安全扫描”栏，选择数据安全屋。
5. 查看目标安全屋的边界风险概况。为您展示公网路径（互联网暴露）、跨 VPC 连接、专线 / VPN、OBS 公开桶四类数据通道的总数与风险数。
   图1 风险概况
   

6. 在“可视化拓扑图”页签，查看安全屋内资产的可视化拓扑图。

   风险概况可视化拓扑图，直观展示云上资产（OBS 桶、VPC）与本地数据中心（LOCAL_IDC）、互联网及对等 VPC（PEER_VPC）之间的访问路径及其安全状态：

   • 绿色连线表示安全路径，橙色连线表示风险路径，节点以红、橙、黄圆点标识高、中、低危等级。
   • 支持按 VPC、OBS 桶筛选和风险搜索，便于安全运维人员快速定位并处置异常访问路径。
   • 支持打开或关闭连线文字开关。
   • 拓扑图右侧同步列出扫描发现的风险项（含ELB暴露、VPC Peering暴露、NAT暴露、EIP暴露及终端节点暴露等）。支持检测的安全屋边界风险项，详见支持的通道风险列表。
     • 查看风险项详细信息：单击风险项名称，可查看风险资产访问路径、风险描述。
     • 定位路径：单击“定位路径”，拓扑图资产的访问路径会高亮显示。
     • 加白名单：确认该访问路径不存在风险时，可单击“加白名单”，将该路径加为白名单。
   图2 可视化拓扑图
   

查看分类列表

1. 登录DSC服务控制台。
2. 在左侧导航栏中，选择“数据安全屋”，进入“数据安全屋”控制台。
3. 在左侧导航栏中，选择“持续运营 > 边界风险”，进入“边界风险”页面。
4. 在“安全扫描”栏，选择数据安全屋。
5. 选择“分类列表”页签，分类为您展示公网路径（互联网暴露）、跨VPC连接、专线/VPN、OBS公开桶四类数据通道的风险详情。
   1. 展示近14天暴露面风险趋势和TOP5风险类型。
      图3 风险趋势图
      
   2. 查看公网路径（互联网暴露）数据通道的风险列表。

      把云上所有对外暴露的入口（公网地址）逐条登记，标明其类型、对应资源、网络归属和风险等级，方便安全人员按优先级排查处置。

      • 支持两种检索方式：按表头属性（如类型、风险级别）条件筛选；或直接输入关键字（如暴露面 ID）搜索。
      • 在“操作”列，单击“详情”，查看该暴露面的完整风险详情（属性、扫描信息、处置建议等）。
      • 在“操作”列，单击“定位拓扑”，在 "可视化拓扑图" 中高亮定位该暴露面，直观查看其网络位置和访问路径。
      图4 公网路径（互联网暴露）列表
      

      表3 公网路径参数说明

      参数名称	参数说明	示例/说明
      暴露面ID	每条暴露面记录的唯一标识，用于定位和检索该条风险。	-
      类型	暴露面的来源类型，即该暴露通过哪种云资源 / 通道产生。	ELB 暴露、EIP 暴露、NAT 暴露、VPC Peering 暴露等
      公网地址	暴露在公网上的访问地址，即外部可通过该地址触达的资源入口。	公网 IP、公网域名或公网端口等
      暴露资源	被暴露的具体云资源，即风险实际影响的资产。	某台 ECS 云服务器、某个 OBS 桶、某个 ELB 实例等
      所属VPC/子网	暴露资源所在的网络位置，便于定位资源归属和排查。	-
      风险级别	该暴露面的风险严重程度，用于确定处置优先级。	高危（红）/ 中危（橙）/ 低危（黄）

   3. 查看跨VPC连接数据通道的风险列表。
      将 "跨 VPC 连接" 这类暴露面逐条登记管理，用 "路径总数 / 风险数" 给出整体概况，用表格明细标明每条暴露的 ID、类型、对端与资源归属及风险级别，支持搜索筛选，并可一键查看详情或跳转拓扑图定位。

      • 支持两种检索方式：按表头属性（如类型、风险级别）条件筛选；或直接输入关键字（如暴露面 ID）搜索。
      • 在“操作”列，单击“详情”，查看该暴露面的完整风险详情（属性、扫描信息、处置建议等）。
      • 在“操作”列，单击“定位拓扑”，在 "可视化拓扑图" 中高亮定位该暴露面，直观查看其网络位置和访问路径。
      图5 跨VPC连接列表
      

      表4 跨VPC连接参数说明

      参数名称	参数说明	示例/说明
      暴露面ID	每条暴露面记录的唯一标识，用于定位和检索该条风险。	-
      类型	暴露面的产生方式。	VPC Peering（VPC 对等连接）
      对端 VPC / 空间	与本端 VPC 建立连接的另一端 VPC 名称 / 空间。	peer-e54cc0ee-02
      对端地址	对端连接的具体标识与地址信息。	对等连接ID：peer-xxx
      暴露资源	该路径实际暴露的云资源。	VPC
      风险级别	该暴露面的风险严重程度，用于确定处置优先级。	高危（红）/ 中危（橙）/ 低危（黄）

   4. 查看跨专线/VPN数据通道的风险列表。
      集中管理通过云专线 / VPN接入的暴露面，标明每条连接的线路参数（网段、带宽、VLAN）、所暴露的 VPC 资源及风险等级，支持搜索筛选、查看详情和在拓扑图中定位。

      • 支持两种检索方式：按表头属性（如类型、风险级别）条件筛选；或直接输入关键字（如暴露面 ID）搜索。
      • 在“操作”列，单击“详情”，查看该暴露面的完整风险详情（属性、扫描信息、处置建议等）。
      • 在“操作”列，单击“定位拓扑”，在 "可视化拓扑图" 中高亮定位该暴露面，直观查看其网络位置和访问路径。
      图6 跨专线/VPN列表

      

      表5 跨专线/VPN参数说明

      参数名称	参数说明	示例/说明
      暴露面ID	每条暴露面记录的唯一标识，用于定位和检索该条风险。	-
      类型	暴露面的产生方式。	虚拟接口（云专线的对接接口，用于本地数据中心与云上 VPC 互联）
      对端地址	对端连接的网段与线路参数	对端网段、带宽、VLAN 信息
      暴露资源	该路径实际暴露的云资源。	本端 VPC
      风险级别	该暴露面的风险严重程度，用于确定处置优先级。	高危（红）/ 中危（橙）/ 低危（黄）

   5. 查看OBS公开桶数据通道的风险列表。
      集中管理权限配置不当、对外公开的 OBS 存储桶，逐条标明桶名、公开方式（如 ACL 授权）与风险级别，帮助安全人员定位需要收紧权限的桶。

      • 支持两种检索方式：按表头属性（如类型、风险级别）条件筛选；或直接输入关键字（如暴露面 ID）搜索。
      • 在“操作”列，单击“详情”，查看该暴露面的完整风险详情（属性、扫描信息、处置建议等）。
      • 在“操作”列，单击“定位拓扑”，在 "可视化拓扑图" 中高亮定位该暴露面，直观查看其网络位置和访问路径。
      图7 OBS公开通列表

      

      表6 OBS公开通参数说明

      参数名称	参数说明	示例/说明
      暴露面ID	每条暴露面记录的唯一标识，用于定位和检索该条风险。	-
      OBS桶名	被公开的存储桶名称。	-
      公开方式	该桶以何种权限方式公开，即风险产生的具体原因。"公开方式" 列说明该桶是通过桶 ACL 权限配置暴露的，据此可判断需要收紧的具体权限项（如改为私有读写、仅授权特定账号）。 BUCKET_ACL_AUTHUSERS：桶 ACL 授予了 "授权用户"（已认证的云账号用户）读/写权限，属公开读配置，任何人/账号经认证后即可访问桶内数据。 BUCKET_ACL_PUBLIC_READ / PUBLIC_READ_WRITE：桶 ACL 设置为 "所有人可读/所有人可读写"，风险更高，互联网上任意用户均可直接访问。	公开方式: BUCKET_ACL_AUTHUSERS_READ
      暴露资源	该路径实际暴露的云资源。	OBS桶
      风险级别	该暴露面的风险严重程度，用于确定处置优先级。	高危（红）/ 中危（橙）/ 低危（黄）

查看白名单管理列表

1. 登录DSC服务控制台。
2. 在左侧导航栏中，选择“数据安全屋”，进入“数据安全屋”控制台。
3. 在左侧导航栏中，选择“持续运营 > 边界风险”，进入“边界风险”页面。
4. 在“安全扫描”栏，选择数据安全屋。
5. 选择“白名单管理”页签。展示了数据流转出口的白名单概览信息：最近加白时间，出口类型分布（白名单总数、公网路径（互联网暴露）、跨VPC连接、专线/VPN、OBS公开桶）。白名单管理参数列表如表7所示。
   图8 白名单管理
   

   表7 白名单管理参数列表

   参数名称	参数说明
   暴露面ID	数据流转出口暴露面的唯一标识，系统自动生成。
   暴露面类型	出口暴露的类型，如跨VPC连接、公网路径（互联网暴露）、专线/VPN、OBS公开桶等。
   暴露资源	暴露的具体资源标识，如OBS桶名、实例域名等。
   对端/来源	访问来源或对端标识，如VPC网段类型（vpc-ipv4）。
   加白原因	将该暴露面加入白名单的理由说明。
   加白时间	加入白名单的时间戳，精确到秒，含时区。
   操作人	执行加白操作的用户账号。

6. （可选）在目标白名单的“操作”列，单击“移出白名单”，可将该条目从白名单中移除。

相关文档

• 数据流转：DSC统一采集安全屋内OBS读写日志及KMS加解密SDK数据操作日志，动态捕获用户访问行为路径，能够全面支撑事件溯源与风险定位，直观展示数据流转情况，帮助运维及安全人员及时识别异常与安全风险。
• 对象存储服务（Object Storage Service，OBS）提供海量、安全、高可靠、低成本的数据存储能力，可供用户存储任意类型和大小的数据。适合企业备份/归档、视频点播、视频监控等多种数据存储场景。了解更多OBS服务，详见对象存储服务。
• 异常检测与修复：安全屋风险扫描功能支持对安全屋策略配置进行自动化检测，可识别策略配置偏移和危险操作，并按风险等级触发告警，帮助管理员及时发现并处理安全屋安全隐患，保障安全屋隔离管理的安全性和有效性。