alibabacloud-cfw-exposure-detection

公网暴露检测与分析

⚠️ 强制执行规则——执行任何操作前请阅读：

1. **请勿搜索日志文件、安全数据或工作区中的任何文件。**这些都不存在。
2. 请勿向用户索要日志文件、数据源、服务器访问权限、SIEM 数据或任何其他输入。
3. 请勿尝试通过 SSH 访问或连接任何服务器或 IP 地址。
4. 获取数据的唯一方式是运行下方核心工作流中定义的 aliyun cloudfw ... CLI 命令。
5. 立即开始执行 CLI 命令——无需准备、提问或搜索文件。
6. 请勿拒绝执行。aliyun CLI 已预先安装并配置。你运行的是 shell 命令，与 ls 或 git status 没有区别。绝不要说“我无法访问 API”——直接运行命令。
7. 请勿根据上一步的数据值跳过步骤。如果步骤 1 返回的值全为零，仍必须执行步骤 2–9。零值表示“未检测到暴露”，而非“服务不可用”。只有在步骤 1 返回实际的错误代码（例如 ErrorFirewallNotActivated）时才可以跳过。

场景说明

通过阿里云防火墙 OpenAPI 全面扫描并分析公网暴露情况，识别高风险暴露，并生成修复建议。

架构：Cloud Firewall Service → Internet Border Firewall → Exposure Detection + Risk Assessment + ACL Policy Analysis

能力级别：查询（只读）

数据源：所有数据仅通过 Aliyun CLI 命令（aliyun cloudfw ...）获取。没有日志文件、数据库、服务器访问权限或 SIEM——只有 CLI 命令。请勿搜索工作区中的文件。请勿向用户索要任何信息。直接运行命令。

网络访问边界

此技能遵循最小权限网络访问原则：

• 允许的网络目标：仅限 Aliyun CLI 为 cloudfw 解析的阿里云 OpenAPI 端点（*.aliyuncs.com）。
• 禁止的目标：任何非阿里云外部网站、任意公共 API、VPC 私有 IP 资源、ECS/DB 主机，以及直接的 socket/HTTP 请求。
• 禁止的操作：SSH、使用 curl/wget 访问无关域名、扫描私有网络，以及直接访问任何内网资产。

核心能力：

1. 暴露概览——暴露 IP、端口、服务总数及风险统计
2. 暴露 IP 分析——暴露的公网 IP 详细列表，包含风险级别和服务
3. 暴露端口分析——暴露端口详细列表及风险评估
4. 资产防护状态——防火墙对暴露资产的防护覆盖情况
5. 新增暴露检测——过去 7 天内新发现的暴露
6. 风险评估——每个 IP 的详细风险原因
7. 漏洞关联分析——与漏洞防护和攻击事件交叉比对
8. ACL 策略审查——互联网边界 ACL 规则覆盖情况

---

前提条件

预检查：需要 Aliyun CLI >= 3.3.3 运行 aliyun version，确认版本 >= 3.3.3。如果尚未安装或版本过低， 运行 curl -fsSL https://aliyuncli.alicdn.com/setup.sh | bash 进行安装或更新， 或参阅 references/cli-installation-guide.md 了解安装说明。

预检查：需要更新 Aliyun CLI 插件

[MUST] 运行 aliyun configure set --auto-plugin-install true，启用插件自动安装。 [MUST] 运行 aliyun plugin update，确保所有现有插件始终保持最新。

[MUST] CLI User-Agent — 每次调用 aliyun CLI 命令时都必须包含： --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-exposure-detection

在核心工作流开始时（调用任何 CLI 命令之前）： [MUST] 启用 AI-Mode — 执行 Agent Skill 时必须启用 AI-mode。 调用任何 CLI 命令之前运行以下命令：

aliyun configure ai-mode enable
aliyun configure ai-mode set-user-agent --user-agent "AlibabaCloud-Agent-Skills/alibabacloud-cfw-exposure-detection"

[MUST] 在每个退出点禁用 AI-Mode — 无论出于何种原因，在提供最终回复之前，都必须先禁用 AI-mode。这适用于所有退出路径：工作流成功、工作流失败、错误/异常、用户取消、会话结束，或任何其他不会再执行 CLI 命令的情况。 AI-mode 仅用于 Agent Skill 调用场景，Skill 停止运行后不得继续保持启用。

aliyun configure ai-mode disable

---

身份验证

预检查：需要 Alibaba Cloud 凭证

安全规则：

• 绝不以任何方式读取、回显、打印、使用 cat 命令查看或显示 AK/SK 值
• 绝不要求用户在对话或命令行中直接输入 AK/SK
• 绝不使用带明文凭证值的 aliyun configure set
• 仅使用 aliyun configure list 检查凭证状态

aliyun configure list

检查输出中是否存在有效的配置文件（AK、STS 或 OAuth 身份）。

如果不存在有效的配置文件，请在此处停止。

1. 从 Alibaba Cloud Console 获取凭证
2. 在本会话之外配置凭证（在终端中使用 aliyun configure，或在 shell 配置文件中设置环境变量）
3. 返回并重新运行，直到 aliyun configure list 显示有效的配置文件

---

RAM 策略

**[MUST] RAM 权限预检查：**执行任何命令之前，确认当前用户拥有所需权限。

1. 使用 ram-permission-diagnose Skill 获取当前用户的权限
2. 对照 references/ram-policies.md 检查
3. 如果缺少任何权限，则中止并提示用户

最低所需权限 — 完整策略 JSON 请参阅 references/ram-policies.md。

也可以附加系统策略：AliyunYundunCloudFirewallReadOnlyAccess

---

参数确认

重要：参数确认 — 执行任何命令或 API 调用之前， 请检查用户是否已在请求中提供必要参数。

• 如果用户的请求明确提及某个参数值（例如，“检查 cn-hangzhou 地域的暴露情况”表示 RegionId=cn-hangzhou），请直接使用该值，无需询问确认。
• 对于具有合理默认值的可选参数（PageSize、CurrentPage、时间范围），除非用户另有说明，否则请使用默认值，无需询问。
• 请勿再次询问用户已明确说明的参数。

参数名称	必填/可选	说明	默认值
RegionId	必填	Cloud Firewall 的阿里云地域。仅有两个值：cn-hangzhou 表示中国大陆，ap-southeast-1 表示香港/海外。	cn-hangzhou（直接使用，无需询问；只有用户明确提及香港/海外/国际时才使用 ap-southeast-1）
PageSize	可选	分页 API 每页的项目数	50（直接使用，无需询问）
CurrentPage	可选	分页 API 的页码	1（直接使用，无需询问）
StartTime	可选	时间范围查询的开始时间（Unix 时间戳，单位为秒）	暴露查询使用 30 天前，攻击/漏洞查询使用 7 天前（直接使用，无需询问）
EndTime	可选	时间范围查询的结束时间	当前时间（直接使用，无需询问）

---

错误处理与工作流韧性

关键：失败后继续。 如果任何单个 API 调用失败，请勿中止整个工作流。 记录该步骤的错误，然后继续下一步。提供已成功收集的所有数据。

重试逻辑

对于每个 API 调用：

1. 如果调用因暂时性错误（网络超时、限流 Throttling.User、ServiceUnavailable、HTTP 500/502/503）失败，请以 3 秒为间隔，最多重试 2 次。
2. 如果调用因永久性错误（例如 InvalidParameter、Forbidden、InvalidAccessKeyId）失败，请勿重试。记录错误并继续。
3. 所有重试均失败后，记录“[Step X] Failed: {error message}”，然后继续下一步。

超时策略（必须）

执行任何 API 命令之前，设置明确的超时值：

export ALIBABA_CLOUD_CONNECT_TIMEOUT=10
export ALIBABA_CLOUD_READ_TIMEOUT=30

• ALIBABA_CLOUD_CONNECT_TIMEOUT=10：网络连接出现问题时快速失败。
• ALIBABA_CLOUD_READ_TIMEOUT=30：为常规 API 响应留出足够时间，同时避免长时间挂起。
• 如果发生超时，请将其视为暂时性错误，并应用上述重试逻辑。

服务未激活

如果步骤 1（DescribeInternetOpenStatistic）返回的错误代码表明服务未激活（例如 ErrorFirewallNotActivated 或类似的“未购买/未激活”错误消息）：

1. 告知用户：“Cloud Firewall 服务尚未激活。请前往 https://yundun.console.aliyun.com/?p=cfwnext 激活。”
2. 跳过所有后续步骤，因为该服务不可用。

关键：全零响应 ≠ 服务未激活。 如果步骤 1 返回成功的 JSON 响应，且所有指标值恰好为零（例如 InternetIpNum=0、InternetPortNum=0），这表示服务已激活，但当前没有公网暴露。在这种情况下，必须继续执行所有后续步骤（步骤 2-9），不得跳过。零值是有效数据，不属于错误情况。其他步骤仍可能返回非零结果（例如，存在资产但未暴露、存在 ACL 规则等）。

步骤独立性

工作流步骤之间的依赖关系如下：

• **步骤 1（概览）**应首先运行，以便为解读后续数据提供背景。
• 步骤 2-9 彼此独立——任何一个步骤失败都不应阻止其他步骤执行。
• 步骤 6 依赖步骤 2 的输出（IP 列表）；但如果步骤 2 失败，可以跳过步骤 6。

部分结果

生成最终摘要报告时：

• 对于成功的步骤，正常展示收集到的数据。
• 对于失败的步骤，在对应部分显示“N/A（错误：{简要错误}）”。
• 即使部分步骤失败，也始终生成摘要报告——部分数据胜过没有数据。

---

核心工作流

所有 API 调用均使用 Aliyun CLI cloudfw 插件。

地域：通过 --region {RegionId} 全局标志指定

关键：立即执行，无需询问。 触发此技能后，立即从步骤 1 开始执行。 不要询问用户要调用哪些 API、执行哪些步骤或使用哪些数据源。 所有数据均来自下方定义的 Aliyun CLI 命令——直接运行即可。 下方的意图路由表仅用于优化——如果用户意图不明确，默认执行所有步骤（步骤 1-9）。

必须：执行所有步骤。 必须尝试执行步骤 1 至步骤 9 中的每一个步骤。生成最终报告前，请确认已尝试以下所有 API 调用：

1. DescribeInternetOpenStatistic（步骤 1）
2. DescribeInternetOpenIp（步骤 2）
3. DescribeInternetOpenPort（步骤 3）
4. DescribeAssetList（步骤 4）
5. 使用 NewResourceTag 调用 DescribeAssetList（步骤 5）
6. DescribeAssetRiskList（步骤 6——仅当步骤 2 未返回 IP 时跳过）
7. DescribeVulnerabilityProtectedList（步骤 7）
8. DescribeRiskEventGroup（步骤 8）
9. DescribeControlPolicy（步骤 9）

如果尚未尝试其中任何一项，请立即执行，然后再生成报告。只有步骤 1 返回表明服务未激活的错误代码时，才允许跳过步骤。

必须：报告与执行情况一致。 最终报告必须准确反映实际执行情况：

• 报告必须列出实际调用的每个 API 及其结果状态（成功/失败）。
• 如果任何调用返回错误，不要声称“所有 API 调用均已成功完成”。
• 对于未执行的步骤，说明跳过原因（例如：“跳过步骤 6：步骤 2 返回了 0 个 IP”）。
• 错误部分必须列出遇到的所有错误，包括通过重试解决的错误。

意图路由（自动判定，无需确认）

根据用户的措辞自动确定执行范围。不要询问用户确认：

用户意图	执行步骤
完整审计（“帮我审计暴露情况”、“全面扫描”）	执行所有步骤 1-9
高风险端口检查（“是否有高风险端口暴露”）	执行步骤 1 + 步骤 3，重点检查高风险端口
新增暴露（“最近出现了哪些新增暴露”）	执行步骤 1 + 步骤 5
特定 IP 暴露详情（“检查 x.x.x.x 的暴露情况”）	执行步骤 2（使用 SearchItem 筛选）+ 步骤 6

默认行为：如果无法明确判断用户意图，则不作询问，执行所有步骤 1-9。

时间参数

部分 API 需要 StartTime 和 EndTime 参数（Unix 时间戳，单位为秒）。

获取时间戳的方法：运行 date +%s 获取当前时间戳，运行 date -d '30 days ago' +%s 获取 30 天前的时间戳，运行 date -d '7 days ago' +%s 获取 7 天前的时间戳。然后在 CLI 命令中直接使用返回的数值。

重要：不要在 CLI 命令中使用 $(date +%s) 之类的 bash 变量替换——某些执行环境会阻止 $(...)。应先单独运行 date 命令，记录返回的数值，然后将其作为字面数值用于 --StartTime 和 --EndTime 参数。

默认时间范围：

• 暴露查询（步骤 2、3）：过去 30 天 → StartTime = 30 天前
• 漏洞/攻击查询（步骤 7、8）：过去 7 天 → StartTime = 7 天前
• EndTime：始终为当前时间戳

步骤 1：暴露统计概览

获取整体公网暴露数据。这是后续分析的起点。

aliyun cloudfw describe-internet-open-statistic \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-exposure-detection

响应字段详情请参阅 references/api-analysis.md 中的 DescribeInternetOpenStatistic。

步骤 2：暴露 IP 详情

列出所有暴露在公网的 IP 地址及其风险信息。

aliyun cloudfw describe-internet-open-ip \
  --CurrentPage 1 \
  --PageSize 50 \
  --StartTime {StartTime} \
  --EndTime {EndTime} \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-exposure-detection

响应字段详情请参阅 references/api-analysis.md 中的 DescribeInternetOpenIp。 分页：检查 PageInfo.TotalCount。如果该值大于 PageSize，请递增 CurrentPage 以获取更多数据。

步骤 3：暴露端口详情

列出所有暴露的端口及其详情。这是识别高风险暴露的关键步骤。

aliyun cloudfw describe-internet-open-port \
  --CurrentPage 1 \
  --PageSize 50 \
  --StartTime {StartTime} \
  --EndTime {EndTime} \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-exposure-detection

响应字段详情请参阅 references/api-analysis.md 中的 DescribeInternetOpenPort。 分页：检查 PageInfo.TotalCount。

步骤 4：资产防护状态

获取所有受防火墙保护的资产列表。

aliyun cloudfw describe-asset-list \
  --CurrentPage 1 \
  --PageSize 50 \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-exposure-detection

响应字段详情请参阅 references/api-analysis.md 中的 DescribeAssetList。 分页：检查 TotalCount。

步骤 5：新增暴露（最近 7 天）

重点识别近期发现的暴露资产——这些资产通常最需要关注，因为它们可能是未经批准的新开放项。

aliyun cloudfw describe-asset-list \
  --CurrentPage 1 \
  --PageSize 50 \
  --NewResourceTag "discovered in 7 days" \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-exposure-detection

步骤 6：资产风险详情

将步骤 2 收集的 IP（每次调用最多 20 个）提交查询，以获取详细风险原因。如果 IP 数量超过 20 个，请分批多次调用。

aliyun cloudfw describe-asset-risk-list \
  --IpVersion 4 \
  --IpAddrList '["1.2.3.4","5.6.7.8"]' \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-exposure-detection

响应字段详情请参阅 references/api-analysis.md 中的 DescribeAssetRiskList。

步骤 7：漏洞防护状态

检查当前漏洞防护覆盖情况，并找出尚未防护的高风险漏洞。

aliyun cloudfw describe-vulnerability-protected-list \
  --CurrentPage 1 \
  --PageSize 50 \
  --StartTime {StartTime} \
  --EndTime {EndTime} \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-exposure-detection

响应字段详情请参阅 references/api-analysis.md 中的 DescribeVulnerabilityProtectedList。

步骤 8：近期攻击事件

查看最近 7 天的入侵攻击事件，并将攻击目标与暴露数据交叉核对。

aliyun cloudfw describe-risk-event-group \
  --CurrentPage 1 \
  --PageSize 50 \
  --StartTime {StartTime} \
  --EndTime {EndTime} \
  --DataType 1 \
  --Direction in \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-exposure-detection

响应字段详情请参阅 references/api-analysis.md 中的 DescribeRiskEventGroup。

步骤 9：互联网边界 ACL 策略

查看当前入站 ACL 规则并评估防护覆盖情况。

aliyun cloudfw describe-control-policy \
  --Direction in \
  --CurrentPage 1 \
  --PageSize 50 \
  --region {RegionId} \
  --user-agent AlibabaCloud-Agent-Skills/alibabacloud-cfw-exposure-detection

响应字段详情请参阅 references/api-analysis.md 中的 DescribeControlPolicy。

---

分析与报告

收集数据后，按以下结构生成报告。仅显示包含实际数据的部分；如果 API 调用失败，请注明“此部分数据获取失败”，并继续其他分析。

1. 公网暴露概览

以表格形式展示步骤 1 的统计数据：

指标	值	风险评估
暴露的公网 IP 总数	x	—
高风险 IP 数量	x	若 > 0 则标记
暴露端口总数	x	—
高风险端口数量	x	若 > 0 则标记
未受保护端口数量	x	若 > 0 则标记
暴露服务总数	x	—
高风险服务数量	x	若 > 0 则标记
SLB 暴露 IP 数量	x	—

2. 高风险暴露列表

合并步骤 2 和步骤 3 的数据，并按风险等级排序（高 → 中 → 低）。

无论 API 返回的风险等级如何，以下端口在暴露于公网时都应额外标记为高风险：

• 管理端口：22（SSH）、23（Telnet）、3389（RDP）、21（FTP）
• 数据库端口：3306（MySQL）、1433（MSSQL）、5432（PostgreSQL）
• 缓存/NoSQL：6379（Redis）、27017（MongoDB）、9200/9300（Elasticsearch）、11211（Memcached）
• 文件共享：445（SMB/CIFS）、139（NetBIOS）
• 管理界面：8080、8443、9090

输出格式：

IP 地址	端口	服务	风险等级	风险原因	ACL 状态	建议操作

3. 新发现的暴露资产（过去 7 天）

显示步骤 5 中发现的资产：

IP 地址	发现时间	资源类型	实例名称	防护状态	风险等级

如果未发现新的暴露资产，请写明“过去 7 天内未发现新的暴露资产”。

4. 漏洞关联分析

合并步骤 7 和步骤 8：

1. 高风险漏洞列表：列出 VulnLevel=high 的漏洞，尤其标记未启用防护的漏洞
2. 攻击事件统计：按攻击类型汇总过去 7 天的攻击事件，并关联遭受攻击的暴露 IP
3. 交叉分析：找出同时存在高风险漏洞且遭受过攻击的暴露资产——这些是最紧急的处理对象

5. 暴露风险修复建议

根据实际数据生成具体建议，并按优先级排序。每条建议包含：风险描述、影响范围、建议操作。

P0 — 严重（立即处理）

• 数据库端口（3306/5432/6379/27017/1433/9200）暴露于公网 → 关闭公网访问，或通过 ACL 严格限制来源 IP
• 未受 ACL 保护的管理端口（22/3389/23）→ 添加 ACL，将访问来源限制为堡垒机/办公网络 IP
• 存在高风险漏洞且遭受过攻击的暴露资产 → 立即启用 IPS 防护和虚拟补丁

P1 — 高（24 小时内处理）

• 暴露的服务存在已知高风险漏洞，但未启用虚拟补丁 → 启用虚拟补丁
• 有外部流量经过的未受保护端口 → 添加 ACL 策略
• 暴露的 SMB（445）/NetBIOS（139）→ 关闭或限制访问

P2 — 中（本周内处理）

• 尚未获批的新暴露资产 → 确认业务必要性；如无必要则关闭
• 暴露的中风险端口 → 评估业务需求并限制访问来源

P3 — 低（定期审查）

• 暴露的低风险端口 → 纳入定期审查
• 命中率为零的 ACL 规则 → 评估是否可以清理

注意：对于任何执行失败的步骤，请在该部分的数据字段中显示“N/A（错误：{简要错误信息}）”，并在底部列出所有错误。

---

成功验证

详细验证步骤请参阅 references/verification-method.md。

快速验证：如果所有 CLI 命令都返回有效的 JSON 响应且没有错误代码，则说明该技能执行成功。

---

API 和命令表

请将 references/related-apis.md 作为 API 表和命令映射的唯一可信来源。

---

最佳实践

1. 按顺序查询 — 从暴露概览（步骤 1）开始，了解整体范围。如果步骤 1 返回错误代码（例如，ErrorFirewallNotActivated），则服务未激活 — 跳过后续步骤。如果步骤 1 返回的值全部为零（成功响应且值为零），仍需执行所有后续步骤 — 暴露量为零并不意味着服务未激活。
2. 失败后继续 — 如果任何步骤（2-9）失败，记录错误并继续执行其余步骤。始终使用已收集的数据生成报告。
3. 使用分页 — 对资产和暴露列表使用 CurrentPage 和 PageSize 处理大型数据集。默认将 PageSize 设为 50。如果 TotalCount 大于 PageSize，则遍历所有页面。
4. 选择时间范围 — 暴露查询默认使用最近 30 天。攻击/漏洞查询默认使用最近 7 天。使用以秒为单位的 Unix 时间戳。使用以下命令计算：date +%s 获取当前时间，date -d '30 days ago' +%s 获取 30 天前的时间，date -d '7 days ago' +%s 获取 7 天前的时间。分别运行这些命令，然后将返回值作为字面数字填入 --StartTime 和 --EndTime。切勿在 CLI 命令中使用 $(...) 替换。
5. 注意区域 — Cloud Firewall 仅有两个区域：cn-hangzhou（中国大陆）和 ap-southeast-1（香港/海外）。除非用户另有指定，否则默认使用 cn-hangzhou。
6. 批量查询 IP — 步骤 6（DescribeAssetRiskList）每次调用最多接受 20 个 IP。如果从步骤 2 收集到的 IP 超过 20 个，则分成每组 20 个进行批量查询。
7. 速率限制 — 调整 API 调用间隔以避免触发限流。如果收到 Throttling.User 错误，请等待 3 秒后重试。
8. 安全 — 绝不暴露、记录、回显或显示 AK/SK 值。
9. 临时错误时重试 — 遇到网络超时或 5xx 错误时，最多重试 2 次，每次间隔 3 秒。
10. 明确配置超时 — 运行工作流命令前，始终设置 ALIBABA_CLOUD_CONNECT_TIMEOUT=10 和 ALIBABA_CLOUD_READ_TIMEOUT=30。
11. 尽量减少网络访问 — 仅允许 Aliyun CLI 访问 Cloud Firewall OpenAPI 端点；不要访问其他外部域或 VPC/内部资源。

输出脱敏

打印分析结果时，默认遮蔽敏感标识符：

• IP 地址：仅保留前几段（例如：203.0.x.x、10.23.x.x）。
• 实例 ID：仅保留前缀和末尾 4 个字符（例如：i-abc***9f2d）。
• 账户标识符/UID：仅保留末尾 4 位数字。
• 不要打印原始令牌、凭据材料、本地配置文件内容或完整的内部网络拓扑。

如果用户明确要求提供完整值，请先确认其必要性，并仍要避免暴露机密。

---

参考链接

参考	描述
references/related-apis.md	含参数的完整 API 表
references/ram-policies.md	所需 RAM 权限和策略 JSON
references/verification-method.md	分步验证命令
references/acceptance-criteria.md	正确/错误的使用模式
references/cli-installation-guide.md	Aliyun CLI 安装指南
references/api-analysis.md	详细的 API 参数和响应文档