工作负载是指在云端提供业务支撑的服务，如ECS、Kubernetes 、容器等，工作负载架构风险是指工作负载为了提供业务支持所选择的部署方式、网络连接方式、访问控制等操作面临的风险，具体如ECS直接绑定公网IP提供互联网服务，但该操作有可能被攻击者利用。
常见的工作负载架构风险如下：
类别 | 影响因素 | 风险 级别 | 可能导致的风险 |
未经保护的工作负载 | 工作负载未经NAT、SLB、防火墙等保护，直接挂在EIP向公网提供服务 | 高 | ECS等资源直接绑定公网IP后会绕过一些安全设置，产生的安全防护和监控的盲点。若ECS上存在高危漏洞或端口暴露，则无法及时发现网络攻击和网络嗅探。 |
加入的安全组授权过大 | 安全组授权过大，未能有效保护工作负载。 或加入安全组的工作负载过多，策略设置宽松。 | 中 | 安全组因为加入的ECS过多，因需求不同以及安全组维护工作量，导致授权过大，存在管控宽松的风险。 |
统一的登录认证和审计 | 未经堡垒机直连工作负载 | 高 | 未能有效提供工作负载的集中认证和访问控制，凭据泄露或暴力破解发生时，无法有效控制对工作负载的安全访问。 |
未集中进行工作负载的操作审计 | 高 | 当出现安全事件时，无法有效进行攻击事件的回溯和定位。 |
