本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 修复 DynamoDB 表的暴露
<a name="exposure-ddb-instance"></a>

 Amazon Security Hub 可以为 DynamoDB 表生成暴露结果。

 在 Security Hub 控制台上，暴露调查发现中涉及的 DynamoDB 表及其识别信息列在调查发现详细信息的**资源**部分中。通过编程方式，您可以通过 Security Hub CSP [GetFindingsV2](https://docs.amazonaws.cn/securityhub/1.0/APIReference/API_GetFindingsV2.html)M API 的操作来检索资源详细信息。

在确定暴露调查发现中涉及的资源后，如果不需要该资源，您可以将其删除。删除不必要的资源可以减少您的曝光概况和 Amazon 成本。如果资源至关重要，请按照这些建议的修复步骤进行操作以帮助降低风险。修复主题根据特征的类型进行划分。

单个暴露调查发现包含在多个修复主题中发现的问题。相反，您只需解决一个修复主题即可解决暴露调查发现并降低其严重性级别。您的风险修复方法取决于您的组织要求和工作负载。

**注意**  
 本主题中提供的补救指南可能需要在其他 Amazon 资源中进行进一步的咨询。

**Contents**
+ [DynamoDB 中的错误配置特征](#misconfiguration)
  + [DynamoDB 表已禁用恢复 point-in-time](#point-in-time-recovery-disabled)
  + [DynamoDB 表不在备份计划的覆盖范围内](#backup-plan-disabled)
  + [DynamoDB 表已禁用删除保护](#deletion-protection-disabled)

## DynamoDB 中的错误配置特征
<a name="misconfiguration"></a>

 下面介绍了 DynamoDB 表的错误配置特征和修复步骤。

### DynamoDB 表已禁用恢复 point-in-time
<a name="point-in-time-recovery-disabled"></a>

**启用 DynamoDB 恢复 point-in-time**  
 Dynam point-in-time oDB 恢复为您的 DynamoDB 表数据提供持续的自动备份。有关如何将 DynamoDB 表还原到特定时间点的信息，请参阅《Amazon DynamoDB 开发人员指南》**中的[将 DynamoDB 表还原到某个时间点](https://docs.amazonaws.cn/amazondynamodb/latest/developerguide/PointInTimeRecovery.Tutorial.html)。

### DynamoDB 表不在备份计划的覆盖范围内
<a name="backup-plan-disabled"></a>

 Amazon Backup 提供了一种集中式服务，用于配置、管理和自动执行跨 Amazon 服务（包括 DynamoDB）的备份。如果没有备份计划，您的表就会缺少具有可自定义保留期的定时自动备份，从而造成严重的安全风险。攻击者可能会恶意破坏或删除您的表格数据。如果没有适当的备份，则可能在 “恢复” 窗口以外没有 Point-in-Time恢复选项（如果启用），这可能会导致数据永久丢失。根据数据保护最佳实践，我们建议您通过备份计划涵盖 DynamoDB。

**创建备份计划**  
 在创建备份计划之前，请为您的数据确定合适的备份频率和保留期。有关如何创建备份计划的信息，请参阅《Amazon DynamoDB 用户指南》**中的[将资源分配给备份计划](https://docs.amazonaws.cn/aws-backup/latest/devguide/assigning-resources.html)。

### DynamoDB 表已禁用删除保护
<a name="deletion-protection-disabled"></a>

 删除保护可防止意外删除 DynamoDB 表。在禁用删除保护后，DynamoDB 表很容易通过控制台操作、API 调用、CLI 命令或自动流程被意外删除。这可能会使您的 Amazon 环境面临数据丢失风险，因为有权访问您的 Amazon 环境的未经授权的实体可能会故意删除表，从而导致服务中断和永久丢失数据。根据数据保护最佳实践，我们建议为 DynamoDB 表启用数据保护。

**启用删除保护**  
 如果您管理多个表，请考虑 Amazon CloudFormation 使用批量更新表属性。您可以修改 Amazon CloudFormation 模板以包含`DeletionProtectionEnabled`属性并更新堆栈。完成修复后，请在表**设置**选项卡的**其他**信息下拉列表中验证是否已启用删除保护。