无法定位AWS API的TLS 1.0连接来源，寻求排查建议

从UserAgent定位来源 #

• 该请求的UserAgent对应Windows Server 2012（Microsoft_Windows_NT_6.2.9200.0是Win2012的系统版本号），且使用了旧版AWS SDK for .NET：
  • 排查账户内所有Windows Server 2012实例，检查是否有后台服务、定时任务类的.NET应用调用CloudWatch日志接口
  • 查看实例的系统日志、应用日志，搜索DescribeLogStreams相关记录
  • 检查实例关联的IAM角色，确认是否有访问CloudWatch日志的权限

利用CloudTrail追踪调用实体 #

• 打开CloudTrail，在eu-west-1区域搜索DescribeLogStreams事件，找到对应的调用者ARN，直接定位发起请求的IAM角色/用户
• 若该区域未开启CloudTrail，立即开启日志捕获，后续可追踪同类请求

排查闲置资源与自动化配置 #

• 针对闲置S3存储桶：
  • 检查桶的生命周期规则、事件通知配置，确认是否有触发CloudWatch日志的旧设置
  • 若桶开启了访问日志，查看是否有来自Win2012实例的请求记录
• 检查负载均衡器的访问日志，筛选指向logs.eu-west-1.amazonaws.com的TLS1.0出站流量
• 排查账户内的Lambda函数、EventBridge规则，确认是否有旧的定时任务调用CloudWatch日志API

验证SDK版本与TLS配置 #

• 旧版AWS SDK for .NET（3.1.x）默认可能使用TLS1.0，检查Win2012实例上的应用依赖：
  • 查看项目的NuGet包或程序集，确认aws-sdk-dotnet版本
  • 可在应用配置文件（app.config/web.config）中添加配置强制启用TLS1.2：

    <runtime>
      <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchUseStrongCrypto=false;Switch.System.Net.DontEnableSystemDefaultTlsVersions=false" />
    </runtime>
    

其他排查方向 #

• 查看AWS Systems Manager的自动化文档、Run Command历史，确认是否有旧脚本调用CloudWatch日志接口
• 启用VPC流日志，筛选目标地址为logs.eu-west-1.amazonaws.com的流量，通过源IP关联到具体实例

内容的提问来源于stack exchange，提问作者Panko