自查示例（AWS CLI）
自查示例（AWS CLI）
# 找出对所有来源放行的安全组
aws ec2 describe-security-groups \
--filters Name=ip-permission.cidr,Values=0.0.0.0/0 \
--query 'SecurityGroups[*].[GroupId,GroupName]' --output table
# 阿里云/腾讯云：控制台安全组列表按『0.0.0.0/0』筛选规则| 收敛动作 | 管理端口改限定源；万不得已的公网服务加认证与限速 |
|---|---|
| 规则卫生 | 每条规则写备注（用途/所有者/到期日） |
| 节奏 | 季度全量审计 + 重大变更后抽查 |
安全组审计的难点不是发现 0.0.0.0/0，而是判断哪些能删：先标记、观察流量、再收缩，是稳妥路径。