本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
成本
您应承担用于运行此解决方案的 AWS 服务的成本。
截至本次修订，估计的每月费用为：
-
小规模部署（10 个账户，1 个区域-美国 East/N弗吉尼亚州）：300 美元大约 14.70 美元 remediations/month
-
中等部署（100 个账户，1 个区域-美国 East/N）弗吉尼亚州）：3,000 美元大约 106.40 美元 remediations/month
-
大规模部署（1,000 个账户，10 个区域）：30,000 美元大约 7,360.00 美元 remediations/month
重要
价格可能会发生变化。有关完整详情，请参阅本解决方案中使用的每项 AWS 服务的定价页面。
注意
许多 AWS 服务都包含免费套餐，即客户可以免费使用的服务的基准金额。实际成本可能高于或低于提供的定价示例。
我们建议通过 AWS Cost Explorer 成本管理服务创建预算，以帮助管理成本。价格可能会发生变化。有关完整详情，请参阅本解决方案中使用的每项 AWS 服务的定价网页。
样本成本表
运行此解决方案的总成本取决于以下因素：
-
AWS 安全中心成员账户的数量
-
自动调用的主动补救措施的数量
-
补救频率
此解决方案使用以下 AWS 组件，这些组件会根据您的配置产生费用。为小型、中型和大型组织提供了定价示例。
| 服务 | 免费套餐 | 定价 [美元] |
|---|---|---|
|
没有免费套餐 |
每个基本步骤的收费标准为每步 0.002 美元。对于多账户自动化，所有步骤，包括在任何子账户中运行的步骤，都仅计入原始账户。 |
|
|
没有免费套餐 |
每个 |
|
|
没有免费套餐 |
每月每 GB 0.046 美元 |
|
|
没有免费套餐 |
每转移 GB 0.900 美元（适用于跨账户或区域外） |
|
|
没有免费套餐 |
前 100,000 美元 checks/account /每张支票的Region/month 费用为 0.0010 美元 接下来的 400,000 美元 checks/account /每张支票的Region/month 费用为 0.0008 美元 超过 500,000 checks/account/每张支票的Region/month 费用为 0.0005 美元 |
|
|
前 10,000 events/account/Region/month 免费。查找与 Security Hub 安全检查相关的摄取事件。 |
超过 10,000 events/account/每场Region/month 活动的费用为 0.00003 美元 |
|
|
基本监控指标（以 5 分钟为频率）10 详细监控指标（以 1 分钟为频率）1 100 万个 API 请求（不适用于 GetMetricData GetInsightRuleReport 和 GetMetricWidgetImage） |
前 10,000 个指标的成本为 0.30 美元 metric/month 接下来的 240,000 个指标的成本为 0.10 美元 metric/month 接下来的 750,000 个指标成本为 0.05 美元 metric/month 超过 1,000,000 个指标的成本为 0.02 美元 metric/month 每 1,000 个请求的 API 调用费用为 0.01 美元 |
|
|
3 个仪表板，每月最多 50 个指标 |
每个仪表板每月 3.00 美元 |
|
|
10 个警报指标（不适用于高分辨率警报） |
标准分辨率（60 秒）每项警报指标的费用为 0.10 美元 高分辨率（10 秒）每个警报指标的成本为 0.30 美元 标准分辨率异常检测费用为每个警报 0.30 美元 高分辨率异常检测每个警报的费用为 0.90 美元 每个警报器的复合成本为0.50美元 |
|
|
5GB 数据（摄取、存档存储和通过 Logs Insights 查询扫描的数据） |
每 GB 0.50 美元 |
|
|
5GB 数据（摄取、存档存储和通过 Logs Insights 查询扫描的数据） |
每扫描 GB 数据 0.005 美元 |
|
|
每月 100 万个免费请求 |
每 100 万个请求 0.20 美元 |
|
|
每月 400,000 GB-seconds 次计算时间 |
每人0.0000166667美元。 GB-second持续时间的价格取决于您分配给函数的内存量。您可以为函数分配介于 128MB 和 10,240MB 之间的任意数量的内存，以 1MB 为增量。 |
|
|
每月 4,000 次免费状态转换 |
此后每 1,000 个州过渡为 0.025 美元 |
|
|
AWS 服务发布的所有状态变更事件都是免费的 |
自定义活动的费用为 1 美元。00/million 已发布的自定义事件 Third-party (SaaS) 活动费用为1美元。00/million 已发布的活动 Cross-account 活动费用为1美元。00/million 跨账户事件已发送 |
|
|
每月前 100 万个 Amazon SNS 请求是免费的 |
此后每 100 万个请求 0.50 美元 |
|
|
每月前 100 万个 Amazon SQS 请求是免费的 |
此后每 100 万到 1000 亿个请求 0.40 美元 |
|
|
前 25GB 的存储空间是免费的 |
免费套餐以外的存储空间每月每 GB 0.25 美元。 On-demand 请求定价为每 100 万个写入请求单元 1.25 美元，每百万个读取请求单元 0.25 美元。该解决方案在管理员帐户中预置了多个表（调查结果、修复历史记录、修复配置、资源筛选器、通知配置、通知批处理、计划和用户帐户映射）。调查结果和补救历史记录表的存储空间随着您的账户和地区的调查结果汇总数量的增加而增加。 |
|
|
20,000 requests/month |
每 1 个 AWS KMS 密钥 1.00 美元。每 10,000 个 API 请求 0.03 美元。对于您自动或按需轮换的 AWS KMS 密钥，密钥的第一次和第二次轮换会增加 $1/month （按小时按比例分配）的成本。 注意：该解决方案包括 AWS KMS 缓存优化（S3 存储桶密钥、60 分钟 SQS 数据密钥重用、5 分钟密钥管理器缓存），可将 AWS KMS API 调用减少大约 70%。 |
|
|
在基本套餐中，前 10,000 名月活跃用户是免费的。 注意：当用户通过外部 IdP (SAML/OIDC) 进行身份验证时，此免费套餐为 50 个月活跃用户。 |
每位超过 10,000 名用户的月活跃用户为 0.015 美元。 |
|
|
免费套餐包括 1 TB 的数据传输和每月 10,000,000 个 HTTP 或 HTTPS 请求。 |
(US/Canada/Mexico) 前 9TB 的价格为每月 0.085 美元。接下来的 40TB 是每月 0.080 美元。 每个 HTTP 请求 0.0075 美元。每个 HTTPS 请求 0.0100 美元。 |
|
|
没有免费套餐 |
前 50 TB 的价格为每月每 GB 0.023 美元。 每 1,000 个 PUT、COPY、POST、LIST 请求为 0.005 美元。 每 1,000 个 GET、SELECT 和所有其他请求 0.0004 美元。 |
|
|
在使用的前 12 个月内，有 100 万次 REST API 调用。 |
前 3.33 亿次 API 调用每百万美元 3.50 美元。 |
|
|
每个密钥 30 天免费试用。 |
每个密钥每月 0.40 美元。每 10,000 次 API 调用 0.05 美元。用于存储 Slack、JIRA 以及 ServiceNow 通知和票务渠道的凭证；每个配置的通道一个密钥。 |
|
|
没有免费套餐 |
每个 Web ACL 每月 5.00 美元。每条规则每月 1.00 美元。每 100 万个请求 0.60 美元。在启用 Web UI 时部署以保护 Web UI API，具有 10 条规则（7 个 AWS 托管规则组外加 3 个基于速率的每用户和每个 IP 速率限制规则）。AWS Managed Bot Control 规则组增加了智能威胁缓解定价，即每月 10.00 美元，外加每 100 万个请求 1.00 美元。 |
|
|
管理活动的第一份副本是免费的。 |
每 100,000 个管理事件 2.00 美元。数据事件每 100,000 个事件的费用为 0.10 美元。仅当您启用带EnableCloudTrailForASRActionLog参数的操作日志时才会发生。 |
AWS KMS 成本优化
自版本 3.1.0 起，该解决方案包括 AWS KMS 缓存优化，可将加密操作成本降低约 70%
-
S3 存储桶密钥：减少对 S3 加密操作的 AWS KMS GenerateDataKey 调用
-
SQS 数据密钥重用：消息加密的 60 分钟缓存期
-
密钥管理器缓存：Lambda 函数中的 5 分钟 TTL
性能影响：这些优化将 S3 操作和整个工作流程的延迟缩短了 10-15 毫秒，同时降低了成本，不会降低吞吐量。
定价示例（每月）
注意
以下示例中的 Amazon DynamoDB 数据说明了调查结果和修复历史记录表，这些表在存储空间中占主导地位。该解决方案的其他表格（补救配置、资源筛选器、通知配置、通知批处理、计划和用户帐户映射）包含的数据可以忽略不计，为清楚起见，省略了这些表。这些示例还假设您尚未配置 Slack、JIRA 或 ServiceNow 频道；您配置的每个通道都会添加一个 AWS Secrets Manager 密钥（参见前面的组件表）。AWS Lambda和Amazon SNS的细列项目包括通知管道（通知调度器和每个频道的粉丝Lambda函数以及它们发布到的每个配置的SNS主题）；按此处模拟的请求量，Lambda（每100万个请求0.20美元）和社交网络（每100万个请求0.50美元）的总和远低于0.01美元。AWS WAF（及其机器人控制智能威胁缓解费用）仅出现在网络 UI-enabled 示例中，因为只有在启用 Web 用户界面时才会部署 WAF-protected API 网关。
示例 1：每月 300 次补救
-
10 个账户，1 个区域
-
每 account/Region月 30 次补救
-
account/Region每月处理 500 个安全中心调查结果
-
Web UI 已禁用
-
操作日志已禁用
-
每月总费用 14.70 美元
| 服务 | 假设 | 每月费用 [美元] |
|---|---|---|
|
AWS Systems Manager Automation |
步骤：~4 个步骤 * 300 次补救 * 0.002 美元 = 2.40 美元 时长：10 秒 * 300 次修复 * 0.00003 美元 = 0.09 美元 |
2.49 美元 |
|
AWS Security Hub |
未使用任何计费服务 |
$0 |
|
亚马逊 CloudWatch 日志 |
每 GB 0.50 美元 |
< 0.01 美元 |
|
AWS Lambda-请求 |
300 次修复 * 7 次请求 = 2,100 次请求 5,000 个调查结果 * 1 个请求 = 5,000 个请求 0.20 美元/1,000,000 个请求 = 每个请求 0.0000002 美元 |
0.00142 美元 |
|
AWS Lambda-时长 |
（512MB 内存） 4,000 毫秒 * 300 次修复 * 0.0000000083 美元 = 0.00996 美元 449 毫秒 * 5,000 个调查结果 * 0.0000000083 美元 = 0.0186 美元 |
0.029 美元 |
|
AWS Step Functions |
19 个州过渡 * 300 次补救措施 = 5,700 0.025 美元 * (5 700/1 ,000) 状态转换 = 0.14 美元 |
0.14 美元 |
|
亚马逊 EventBridge 规则 |
不收取任何规则费用 |
$0 |
|
AWS Key Management Service |
1 个密钥 * 10 个账户 * 1 个区域 * $1 = 10 美元 （Encrypt/Decrypt API 请求） （300 次修复 * 2 次请求）+（5,000 个调查结果 * 4 个请求）= 20,600 个请求 使用 AWS KMS 缓存：20,600 * 0.30 = 6,180 个请求 每 10,000 个请求 0.03 美元 ⇒ 0.03 美元 * (6,180/10,000) = 0.02 美元 |
10.02 美元 |
|
Amazon DynamoDB |
2.00 美元 * 1,000,000 次读取和写入 = 2.00 美元 （调查结果表）15MB * 10 个账户 * 1 个区域 = 150MB （历史表）10MB * 10 个账户 * 1 区域 = 100MB 每 GB-month * 0.25 GB 0.25 美元 = 0.0625 美元 |
2.0625 美元 |
|
Amazon SQS |
0.40 美元 * 1,000,000 个请求 = 0.40 美元 |
0.40 美元 |
|
Amazon SNS |
0.50 美元 *（600/1,000,000 条通知）= 0.0003 美元 |
0.0003 美元 |
|
亚马逊 CloudWatch -指标 |
（已禁用增强指标） 0.30 美元 * 7 个自定义指标 = 2.10 美元 0.01 美元 *（300 次看跌期权指标 API 调用次数/1,000 次）= 0.003 美元 |
2.10 美元 |
|
亚马逊 CloudWatch -控制面板 |
3.00 美元 * 1 个仪表板 = 3.00 美元 |
3.00 美元 |
|
亚马逊 CloudWatch -警报 |
（已禁用增强指标） 0.10 美元 * 4 个警报 = 0.40 美元 |
0.40 美元 |
|
亚马逊 CloudWatch - X-Ray 踪迹 |
300 次修复 * 7 个请求 = 2,100 次 Lambda 调用 5,000 个发现 * 1 个请求 = 5,000 次 Lambda 调用 每条跟踪 0.000005 美元 * 7,100 条跟踪 = 0.0355 美元 |
0.0355 美元 |
|
总计 |
14.70 美元 |
示例 2：每月 300 次修复（启用 Web UI）
-
10 个账户，1 个区域
-
每 account/Region月 30 次补救
-
account/Region每月处理 5,000 个安全中心调查结果
-
已启用 Web UI
-
操作日志已禁用
-
每月总费用 49.31 美元
| 服务 | 假设 | 月度费用 [美元] |
|---|---|---|
|
AWS Systems Manager Automation |
步骤：~4 个步骤 * 300 次补救措施 * 0.002 美元 = 2.40 美元 时长：10 秒 * 300 次修复 * 0.00003 美元 = 0.09 美元 |
2.49 美元 |
|
AWS Security Hub |
未使用任何计费服务 |
$0 |
|
亚马逊 CloudWatch 日志 |
每 GB 0.50 美元 |
< 0.01 美元 |
|
AWS Lambda-请求 |
300 次修复 * 7 次请求 = 2,100 次请求 5,000 个调查结果 * 1 个请求 = 5,000 个请求 0.20 美元/1,000,000 个请求 = 每个请求 0.0000002 美元 |
0.00142 美元 |
|
AWS Lambda-时长 |
（512MB 内存） 4,000 毫秒 * 300 次修复 * 0.0000000083 美元 = 0.00996 美元 449 毫秒 * 5,000 个调查结果 * 0.0000000083 美元 = 0.0186 美元 |
0.029 美元 |
|
AWS Step Functions |
19 个州过渡 * 300 次补救措施 = 5,700 0.025 美元 * (5 700/1 ,000) 状态转换 = 0.14 美元 |
0.14 美元 |
|
亚马逊 EventBridge 规则 |
不收取任何规则费用 |
$0 |
|
AWS Key Management Service |
1 个密钥 * 10 个账户 * 1 个区域 * $1 = 10 美元 （Encrypt/Decrypt API 请求） （300 次修复 * 2 次请求）+（5,000 个调查结果 * 4 个请求）= 20,600 个请求 使用 AWS KMS 缓存：20,600 * 0.30 = 6,180 个请求 每 10,000 个请求 0.03 美元 ⇒ 0.03 美元 * (6,180/10,000) = 0.02 美元 |
10.02 美元 |
|
Amazon DynamoDB |
2.00 美元 * 1,000,000 次读取和写入 = 2.00 美元 （调查结果表）15MB * 10 个账户 * 1 个区域 = 150MB （历史表）10MB * 10 个账户 * 1 区域 = 100MB 每 GB-month * 0.25 GB 0.25 美元 = 0.0625 美元 |
2.0625 美元 |
|
Amazon SQS |
0.40 美元 * 1,000,000 个请求 = 0.40 美元 |
0.40 美元 |
|
Amazon SNS |
0.50 美元 *（600/1,000,000 条通知）= 0.0003 美元 |
0.0003 美元 |
|
亚马逊 CloudWatch -指标 |
（已禁用增强指标） 0.30 美元 * 7 个自定义指标 = 2.10 美元 0.01 美元 *（300 次看跌期权指标 API 调用次数/1,000 次）= 0.003 美元 |
2.10 美元 |
|
亚马逊 CloudWatch -控制面板 |
3.00 美元 * 1 个仪表板 = 3.00 美元 |
3.00 美元 |
|
亚马逊 CloudWatch -警报 |
（已禁用增强指标） 0.10 美元 * 4 个警报 = 0.40 美元 |
0.40 美元 |
|
亚马逊 CloudWatch - X-Ray 踪迹 |
300 次修复 * 7 个请求 = 2,100 次 Lambda 调用 5,000 个发现 * 1 个请求 = 5,000 次 Lambda 调用 每条跟踪 0.000005 美元 * 7,100 条跟踪 = 0.0355 美元 |
0.0355 美元 |
|
Amazon Cognito |
（必备等级） 500 个月活跃用户 |
$0 |
|
亚马逊 CloudFront |
向源传输区域数据（每 GB）= 0.020 美元 向互联网传输区域数据（每 GB）= 0.085 美元 所有 HTTP 方法的请求定价（每 10,000 个）= 0.0075 美元 |
0.1125 美元 |
|
Amazon S3 |
（用户界面托管） 每 GB 0.023 美元 * 0.002 GB = 0.000046 美元 （历史导出）每 GB 0.023 美元 * 0.50 GB = 0.0125 美元 每 1,000 个 GET 请求为 0.0004 美元 |
0.0125 美元 |
|
AWS WAF |
1 个 Web ACL = 每月 5.00 美元 10 条规则 * 每条规则 1.00 美元 = 10.00 美元（7 个 AWS 托管规则组 + 3 个基于费率的规则） Bot Control 智能威胁缓解 = 每月 10.00 美元（外加每 100 万个请求 1.00 美元和每 100 万个 WAF 请求费用 0.60 美元，按网络用户界面请求量计算，两者都可以忽略不计） |
25.00 美元 |
|
Amazon API Gateway |
每百万次 REST API 调用 3.50 美元 |
3.50 美元 |
|
总计 |
49.31 美元 |
示例 3：每月 3,000 次补救
-
100 个账户，1 个区域
-
每 account/Region月 30 次补救
-
account/Region每月处理 500 个安全中心调查结果
-
Web UI 已禁用
-
操作日志已禁用
-
每月总费用 106.49 美元
| 服务 | 假设 | 月度费用 [美元] |
|---|---|---|
|
AWS Systems Manager Automation |
步骤：约 4 个步骤 * 3,000 次补救 * 0.002 美元 = 24.00 美元 时长：10 秒 * 3,000 次修复 * 0.00003 美元 = 0.90 美元 |
24.90 美元 |
|
AWS Security Hub |
未使用任何计费服务 |
$0 |
|
亚马逊 CloudWatch 日志 |
每 GB 0.50 美元 |
< 0.01 美元 |
|
AWS Lambda-请求 |
3,000 次补救 * 7 次请求 = 21,000 次请求 50,000 个调查结果 * 1 个请求 = 50,000 个请求 0.20 美元/1,000,000 个请求 = 每个请求 0.0000002 美元 |
0.01 美元 |
|
AWS Lambda-时长 |
（512MB 内存） 4,000 毫秒 * 3,000 次修复 * 0.0000000083 美元 = 0.0996 美元 449 毫秒 * 50,000 个调查结果 * 0.0000000083 美元 = 0.186 美元 |
0.29 美元 |
|
AWS Step Functions |
19 个州过渡 * 3,000 次补救措施 = 57,000 0.025 美元 * (57 000/1 ,000) 状态转换 = 1.425 美元 |
1.425 美元 |
|
亚马逊 EventBridge 规则 |
不收取任何规则费用 |
$0 |
|
AWS Key Management Service |
1 个密钥 * 100 个账户 * 1 个区域 * $1 = 100 美元 （Encrypt/Decrypt API 请求） （3,000 次补救 * 2 个请求）+（50,000 个调查结果 * 4 个请求）= 206,000 个请求 使用 AWS KMS 缓存：206,000 * 0.30 = 61,800 个请求 每 10,000 个请求 0.03 美元 ⇒ 0.03 美元 * (61,800/10,000) = 0.185 美元 |
100.185 美元 |
|
Amazon DynamoDB |
2.00 美元 * 1,000,000 次读取和写入 = 2.00 美元 （调查结果表）15MB * 100 个账户 * 1 区域 = 1,500MB （历史表）10MB * 100 个账户 * 1 区域 = 1,000MB 每 GB-month * 2.5 GB 0.25 美元 = 0.625 美元 |
2.625 美元 |
|
Amazon SQS |
0.40 美元 * 1,000,000 个请求 = 0.40 美元 |
0.40 美元 |
|
Amazon SNS |
0.50 美元 * 1,000,000 条通知 = 0.50 美元 |
0.50 美元 |
|
亚马逊 CloudWatch -指标 |
（已禁用增强指标） 0.30 美元 * 7 个自定义指标 = 2.10 美元 $0.01 * (3000/1,000) put 指标 API 调用 = 0.03 美元 |
2.13 美元 |
|
亚马逊 CloudWatch -控制面板 |
3.00 美元 * 1 个仪表板 = 3.00 美元 |
3.00 美元 |
|
亚马逊 CloudWatch -警报 |
0.10 美元 * 4 个警报 = 0.40 美元 |
0.40 美元 |
|
亚马逊 CloudWatch - X-Ray 踪迹 |
3,000 次修复 * 7 个请求 = 21,000 次 Lambda 调用 50,000 个发现 * 1 个请求 = 50,000 次 Lambda 调用 每条跟踪 0.000005 美元 * 71,000 条跟踪 = 0.355 美元 |
0.355 美元 |
|
总计 |
106.49 美元 |
示例 4：每月 30,000 次补救
-
1,000 个账户，10 个区域
-
每 account/Region月 30 次补救
-
account/Region每月处理 500 个安全中心调查结果
-
Web UI 已禁用
-
操作日志已禁用
-
每月总费用 7,360.00 美元
| 服务 | 假设 | 月度费用 [美元] |
|---|---|---|
|
AWS Systems Manager Automation |
步骤：约 4 个步骤 * 30,000 次补救 * 0.002 美元 = 240.00 美元 时长：10 秒 * 30,000 次修复 * 0.00003 美元 = 9.00 美元 |
249.00 美元 |
|
AWS Security Hub |
未使用任何计费服务 |
$0 |
|
亚马逊 CloudWatch 日志 |
每 GB 0.50 美元 |
< 0.01 美元 |
|
AWS Lambda-请求 |
30,000 次修复 * 7 个请求 = 210,000 个请求 5,000,000 个调查结果 * 1 个请求 = 5,000,000 个请求 0.20 美元/1,000,000 个请求 = 每个请求 0.0000002 美元 |
1.042 美元 |
|
AWS Lambda-时长 |
（512MB 内存） 4,000 毫秒 * 30,000 次修复 * 0.0000000083 美元 = 0.996 美元 449 毫秒 * 5,000,000 个调查结果 * 0.0000000083 美元 = 18.63 美元 |
19.63 美元 |
|
AWS Step Functions |
19 个州过渡 * 30,000 次补救措施 = 570,000 0.025 美元 * (570, 000/1 ,000) 状态转换 = 14.25 美元 |
14.25 美元 |
|
亚马逊 EventBridge 规则 |
不收取任何规则费用 |
$0 |
|
AWS Key Management Service |
（1 个密钥）1 美元 * 1,000 个账户 * 10 个区域 = 10,000 美元 （Encrypt/Decrypt API 请求） （30,000 次补救 * 2 个请求）+（5,000,000 个调查结果 * 4 个请求）= 20,060,000 个请求 使用 AWS KMS 缓存：20,060,000 * 0.30 = 6,018,000 个请求 每 10,000 个请求 0.03 美元 ⇒ 0.03 美元 * (6,018,000/10,000) = 18.05 美元 |
10,018.05 美元 |
|
Amazon DynamoDB |
2.00 美元 *（10,000,000 次读写/1,000,000）= 20.00 美元 （调查结果表）15MB * 1000 个账户 * 10 区域 = 150GB （历史表）10MB * 1000 个账户 * 10 区域 = 100GB 每 GB-month * 250 GB 0.25 美元 = 62.50 美元 |
82.50 美元 |
|
Amazon SQS |
0.40 美元 *（5,060,000 个请求/1,000,000 美元）= 2.024 美元 |
2.024 美元 |
|
Amazon SNS |
$0.000005 * 1,000,000 个通知 = 0.50 美元 |
0.50 美元 |
|
亚马逊 CloudWatch -指标 |
（已禁用增强指标） 0.30 美元 * 7 个自定义指标 = 2.10 美元 $0.01 * (30,000/1,000) put 指标 API 调用 = 0.30 美元 |
2.40 美元 |
|
亚马逊 CloudWatch -控制面板 |
3.00 美元 * 1 个仪表板 = 3.00 美元 |
3.00 美元 |
|
亚马逊 CloudWatch -警报 |
（已禁用增强指标） 0.10 美元 * 4 个警报 = 0.40 美元 |
0.40 美元 |
|
亚马逊 CloudWatch - X-Ray 踪迹 |
30,000 次修复 * 7 个请求 = 210,000 次 Lambda 调用 5,000,000 个调查结果 * 1 个请求 = 5,000,000 次 Lambda 调用 每条跟踪 0.000005 美元 * 5,210,000 条跟踪 = 26.05 美元 |
26.05 美元 |
|
总计 |
7,360.00 美元 |
示例 5：每月 30,000 次修复（启用 Web UI）
-
1,000 个账户，10 个区域
-
每 account/Region月 30 次补救
-
account/Region每月处理 500 个安全中心调查结果
-
已启用 Web UI
-
操作日志已禁用
-
每月总费用 7,393.10 美元
| 服务 | 假设 | 每月费用 [美元] |
|---|---|---|
|
AWS Systems Manager Automation |
步骤：约 4 个步骤 * 30,000 次补救 * 0.002 美元 = 240.00 美元 时长：10 秒 * 30,000 次修复 * 0.00003 美元 = 9.00 美元 |
249.00 美元 |
|
AWS Security Hub |
未使用任何计费服务 |
$0 |
|
亚马逊 CloudWatch 日志 |
每 GB 0.50 美元 |
< 0.01 美元 |
|
AWS Lambda-请求 |
30,000 次修复 * 7 个请求 = 210,000 个请求 5,000,000 个调查结果 * 1 个请求 = 5,000,000 个请求 0.20 美元/1,000,000 个请求 = 每个请求 0.0000002 美元 |
1.042 美元 |
|
AWS Lambda-时长 |
（512MB 内存） 4,000 毫秒 * 30,000 次修复 * 0.0000000083 美元 = 0.996 美元 449 毫秒 * 5,000,000 个调查结果 * 0.0000000083 美元 = 18.63 美元 |
19.63 美元 |
|
AWS Step Functions |
19 个州过渡 * 30,000 次补救措施 = 570,000 0.025 美元 * (570, 000/1 ,000) 状态转换 = 14.25 美元 |
14.25 美元 |
|
亚马逊 EventBridge 规则 |
不收取任何规则费用 |
$0 |
|
AWS Key Management Service |
（1 个密钥）1 美元 * 1,000 个账户 * 10 个区域 = 10,000 美元 （Encrypt/Decrypt API 请求） （30,000 次补救 * 2 个请求）+（5,000,000 个调查结果 * 4 个请求）= 20,060,000 个请求 使用 AWS KMS 缓存：20,060,000 * 0.30 = 6,018,000 个请求 每 10,000 个请求 0.03 美元 ⇒ 0.03 美元 * (6,018,000/10,000) = 18.05 美元 |
10,018.05 美元 |
|
Amazon DynamoDB |
2.00 美元 *（10,000,000 次读写/1,000,000）= 20.00 美元 （调查结果表）15MB * 1000 个账户 * 10 区域 = 150GB （历史表）10MB * 1000 个账户 * 10 区域 = 100GB 每 GB-month * 250 GB 0.25 美元 = 62.50 美元 |
82.50 美元 |
|
Amazon SQS |
0.40 美元 *（5,060,000 个请求/1,000,000 美元）= 2.024 美元 |
2.024 美元 |
|
Amazon SNS |
$0.000005 * 1,000,000 个通知 = 0.50 美元 |
0.50 美元 |
|
亚马逊 CloudWatch -指标 |
（已禁用增强指标） 0.30 美元 * 7 个自定义指标 = 2.10 美元 $0.01 * (30,000/1,000) put 指标 API 调用 = 0.30 美元 |
2.40 美元 |
|
亚马逊 CloudWatch -控制面板 |
3.00 美元 * 1 个仪表板 = 3.00 美元 |
3.00 美元 |
|
亚马逊 CloudWatch -警报 |
（已禁用增强指标） 0.10 美元 * 4 个警报 = 0.40 美元 |
0.40 美元 |
|
亚马逊 CloudWatch - X-Ray 踪迹 |
30,000 次修复 * 7 个请求 = 210,000 次 Lambda 调用 5,000,000 个调查结果 * 1 个请求 = 5,000,000 次 Lambda 调用 每条跟踪 0.000005 美元 * 5,210,000 条跟踪 = 26.05 美元 |
26.05 美元 |
|
Amazon Cognito |
（必备等级） 5,000 个月活跃用户 |
$0 |
|
亚马逊 CloudFront |
向源传输区域数据（每 GB）= 0.020 美元 向互联网传输区域数据（每 GB）= 0.085 美元 所有 HTTP 方法的请求定价（每 10,000 个）= 0.0075 美元 |
0.1125 美元 |
|
Amazon S3 |
（用户界面托管） 每 GB 0.023 美元 * 0.002 GB = 0.000046 美元 （历史导出）每 GB 0.023 美元 * 100 GB = 2.30 美元 每 1,000 个 GET 请求 0.0004 美元 * 5,000 个请求 = 2.00 美元 |
4.30 美元 |
|
AWS WAF |
1 个 Web ACL = 每月 5.00 美元 10 条规则 * 每条规则 1.00 美元 = 10.00 美元（7 个 AWS 托管规则组 + 3 个基于费率的规则） Bot Control 智能威胁缓解 = 每月 10.00 美元（外加每 100 万个请求 1.00 美元和每 100 万个 WAF 请求费用 0.60 美元，按网络用户界面请求量计算，两者都可以忽略不计） |
25.00 美元 |
|
Amazon API Gateway |
每百万次 REST API 调用 3.50 美元 |
3.50 美元 |
|
总计 |
7,393.10 美元 |
重要
AWS KMS 密钥轮换成本：启用轮换后，AWS 密钥管理服务 (AWS KMS) 每年自动轮换一次客户托管密钥。每次轮换每年每把密钥的费用为1.00美元。例如，如果单个区域有 1000 个账户，则会产生额外的 $1000/year （1 轮换 × 1000 个密钥 × 1.00 美元）。
可选功能的额外费用
本节确定了与该解决方案的可选功能相关的额外成本。
增强的 CloudWatch 指标
如果您在部署管理堆栈时选择yes该EnableEnhancedCloudWatchMetrics参数，则该解决方案会为每个控制 ID 创建两个自定义指标和一个警报。费用取决于您正在修复的控制 ID 的数量。在下表中，我们假设您每月要修复所有 96 个不同的控制 ID，以确定成本的上限。
| 服务 | 假设 96 个控制 ID * 2 = 192 个自定义指标 | 月度费用 [美元] |
|---|---|---|
|
亚马逊 CloudWatch -指标 |
0.30 美元 * 192 个自定义指标 = 57.60 美元 |
57.60 美元 |
|
亚马逊 CloudWatch -警报 |
0.10 美元 * 96 个警报 = 9.60 美元 |
9.60 美元 |
|
总计 |
67.20 美元 |
CloudTrail 操作日志
在您为其启用操作日志功能的每个成员账户中，解决方案都会创建一个 CloudTrail 跟踪来记录所有写入管理事件。Lambda 函数筛选出与解决方案无关的事件。这意味着费用与您账户中的管理事件总数相关，因为与解决方案无关的事件仍由跟踪捕获并由 Lambda 函数处理。
在下表中，我们假设账户中每月有 150,000 个管理事件。实际费用取决于您账户中的实际管理活动情况。
| 服务 | 假设 | 月度费用 [美元] |
|---|---|---|
|
AWS CloudTrail |
150,000 * 2 美元。00/100,000 = 3.00 美元 |
3.00 美元 |
|
Lambda |
150,000 * 0.2 * 0.125 = 3,750 GB-seconds 3,750 * 0.0000166667 美元 = 0.0625 美元的计算时间成本 0.15 * 0.20 美元 = 0.03 美元的请求费用 0.0625 美元 + 0.03 美元 = Lambda 总成本 0.0925 美元 |
0.0925 美元 |
|
总计 |
每个会员账户 3.09 美元 |
