Claude评估AWS安全态势变化并多渠道告警

原文要点

这是n8n上的免费模板（Oneclick AI Squad，2026-09-06）：定时或手动触发后加载AWS账号、区域和通知配置，拉取/生成安全发现数据并与上次基线对比，无变化则提前停止；有变化则并入资产清单上下文（资源、IAM角色、环境、VPC），交给Claude代理分析严重级别与合规影响，解析为结构化结果（severity、summary、changed items、compliance impact、required actions）。危重级别会进入等待节点由安全负责人审批，批准或非危重则通知SecOps、合规团队，渠道含Slack、邮件、WhatsApp Business Cloud，被拒的单独告警，最后保存新基线。默认用模拟数据节点，可换成真实API；需Anthropic、Slack、SMTP、WhatsApp四套凭证。

这次做成什么

在n8n复刻"基线对比→Claude定级→危重审批→多渠道告警→存基线"流程，用本站合成的新旧两组安全发现数据做练习，验证变化检测、严重度分支和审批等待逻辑。

准备什么

• n8n实例并导入该免费模板
• Anthropic API凭证及可用Claude模型额度
• Slack工作区凭证并已建好审批、拒绝、SecOps、合规四个频道
• SMTP或邮件服务商发送凭证和测试收件地址
• WhatsApp Business Cloud凭证、phone number ID和测试接收号码（可用沙箱）

具体怎么做

1. 配置触发与全局参数

   保留Schedule Trigger（练习时先用Manual Trigger），在配置节点填AWS账号ID（练习可用虚构的123456789012）、区域如ap-southeast-1，以及Anthropic模型名；通知配置里填四个Slack频道名、邮件收件人、WhatsApp号码。

2. 用合成数据验证基线对比

   模板默认是模拟数据节点，先用材料区的新旧两组JSON：第一轮把旧基线存入存储节点，第二轮输入新发现数据；对比逻辑应按finding唯一键（ruleId+resourceId）判断新增、消失或状态变化，无变化时走Stop分支，练习中确认第一轮触发停止、第二轮继续。

3. 接入资产上下文并调Claude

   把变化的findings与资产清单上下文（资源类型、所属环境prod/dev、IAM角色、VPC）合并成一条消息发给Claude代理节点，提示词见材料区；启用结构化输出解析，固定输出severity、summary、changedItems、complianceImpact、requiredActions五个字段。

4. 配置危重分支与审批等待

   Switch节点按severity路由：critical进Wait节点生成审批链接发给安全负责人Slack频道，批准或非critical进通知组，rejected进拒绝告警频道；练习时把Wait时长先调短，手动点批准链接验证两条路径。

5. 通知与保存基线

   批准路径依次发Slack SecOps频道、合规频道、邮件摘要、WhatsApp告警，写入合规审计日志记录，最后用本轮新数据覆盖基线存储；练习用测试频道和沙箱号码，确认每条消息含severity和summary。

可直接复制的材料

你是云安全分析师。下面是本次与上次基线相比发生变化的AWS安全发现，以及资产清单上下文。请评估并只输出JSON。

输出字段：
- severity：critical / high / medium / low 之一。判定规则：涉及生产环境公开暴露或数据泄露风险为critical；权限过宽但仅限内网为high；配置偏离基线为medium；信息性为low
- summary：不超过80字的中文摘要
- changedItems：数组，每项含ruleId、resourceId、changeType（new/removed/status_changed）
- complianceImpact：字符串，说明影响的合规方面
- requiredActions：字符串数组，每条是一个可执行的处置动作

变化发现：{{ $json.changedFindings }}
资产上下文：{{ $json.assetContext }}

旧基线 baseline_old.json：
[{"ruleId":"S3-PUBLIC-001","resourceId":"arn:aws:s3:::logs-dev","status":"OPEN","env":"dev"},{"ruleId":"IAM-WILD-002","resourceId":"role/batch-job","status":"OPEN","env":"prod"}]

新发现 findings_new.json：
[{"ruleId":"S3-PUBLIC-001","resourceId":"arn:aws:s3:::logs-dev","status":"RESOLVED","env":"dev"},{"ruleId":"IAM-WILD-002","resourceId":"role/batch-job","status":"OPEN","env":"prod"},{"ruleId":"SG-OPEN-003","resourceId":"sg-0a1b2c3d","status":"OPEN","env":"prod","detail":"0.0.0.0/0开放22端口"}]

资产上下文 asset_context.json：
{"sg-0a1b2c3d":{"type":"SecurityGroup","vpc":"vpc-prod-main","attachedTo":"prod-payment-api"}}

{"awsAccountId":"123456789012","region":"ap-southeast-1","slackChannels":{"approval":"#sec-approval-test","rejected":"#sec-rejected-test","secops":"#secops-test","compliance":"#compliance-test"},"email":{"to":"secops-test@example.com"},"whatsapp":{"phoneNumberId":"SANDBOX_ID","recipient":"+8613800000000"}}

输入与输出示例

本站虚构演示，非原作者运行结果；输出为本站按提示词规则编写的示意。

输入

新发现数据中新增一条：{"ruleId":"SG-OPEN-003","resourceId":"sg-0a1b2c3d","status":"OPEN","env":"prod","detail":"0.0.0.0/0开放22端口"}，资产上下文显示其挂在生产环境的prod-payment-api上；另有一条S3-PUBLIC-001从OPEN变为RESOLVED。

对应输出

{"severity":"critical","summary":"生产环境支付API的安全组对全网开放22端口，属公开暴露高风险；另有1条开发环境S3发现已修复。","changedItems":[{"ruleId":"SG-OPEN-003","resourceId":"sg-0a1b2c3d","changeType":"new"},{"ruleId":"S3-PUBLIC-001","resourceId":"arn:aws:s3:::logs-dev","changeType":"status_changed"}],"complianceImpact":"生产环境公网暴露违反最小暴露面要求，影响访问控制合规项","requiredActions":["立即将sg-0a1b2c3d的22端口入站源限制为运维跳板机IP","核查prod-payment-api登录日志确认是否有异常SSH登录"]}}，该结果走critical分支进入审批等待

做完检查这些

• 第一轮新旧数据完全相同时工作流在对比节点后停止，不调用Claude不发通知
• 第二轮有变化时Claude输出含五个字段且severity为四档之一，critical项进入Wait审批分支
• 批准链接点击后SecOps频道、合规频道、邮件、WhatsApp四处都收到含severity和summary的消息
• 拒绝路径只发拒绝告警频道，不更新态势记录
• 运行结束后存储中的基线已被本轮新数据完整覆盖

容易卡住的地方

• 模板默认是模拟数据节点，接真实AWS前需自行替换为API拉取节点，模板本身未给出具体AWS接口路径
• Wait审批默认时长可能很长，练习时先调短，否则测试会卡在等待节点
• 四套凭证缺一不可，WhatsApp未配好时建议先禁用该节点验证其余链路
• 严重度阈值和路由规则是模板可调项，不要把本站示例阈值当成行业标准
• 对比逻辑依赖稳定的finding唯一键，真实接入时若ruleId会变会导致全量误报变化