- 默认姿态：入方向默认拒绝，只放业务必需端口
- 最小开放：来源能写安全组就不写 IP，能写网段就不写 0.0.0.0/0
- 分层引用：web → app → db 逐层引用，禁止跨层直连
- 命名规范：环境-角色-用途（prod-web-sg），禁止 test1/sg-new
- 变更留痕：规则变更记录时间/原因/操作人
- 季度审计：全量导出 0.0.0.0/0 规则逐条复核
审计导出口径（阿里云 CLI）
审计导出口径（阿里云 CLI）
aliyun ecs DescribeSecurityGroups --RegionId cn-hangzhou --PageSize 50
aliyun ecs DescribeSecurityGroupAttribute --RegionId cn-hangzhou --SecurityGroupId sg-xxxx安全组是『配置债』高发区：把审计做成季度例行任务，比出事后再清理便宜得多。