云產(chǎn)品安全形勢

網(wǎng)絡(luò)安全威脅態(tài)勢

傳統(tǒng)IT結(jié)構(gòu)向云化架構(gòu)轉(zhuǎn)變，也會帶來新的安全挑戰(zhàn)。可能一個誤操作就會讓自己的應(yīng)用從內(nèi)網(wǎng)訪問變?yōu)楣W(wǎng)訪問或者泄露了自己的密鑰導(dǎo)致信息安全事件。安全和合規(guī)是數(shù)字化轉(zhuǎn)型的基石，也是上云的第一步。

云上信息資產(chǎn)保護(hù)的前提

如何保護(hù)云上信息資產(chǎn)

通常意義上的云計算安全或云安全是指通過一系列策略、控制和技術(shù)，共同確保數(shù)據(jù)、基礎(chǔ)設(shè)施和應(yīng)用的安全，保護(hù)云計算環(huán)境免受外部和內(nèi)部網(wǎng)絡(luò)安全威脅和漏洞的影響。越來越多的企業(yè)更加重視云安全合規(guī)，云上安全合規(guī)需要有自上而下的頂層設(shè)計，要以安全為出發(fā)點(diǎn)構(gòu)建云上應(yīng)用。

阿里云賬號安全

開啟MFA多因素賬號認(rèn)證

建議為阿里云賬號啟用MFA多因素認(rèn)證，即在用戶名和密碼（第一層安全要素）的基礎(chǔ)上，增加了MFA安全碼（第二層安全要素，MFA設(shè)備生成的動態(tài)驗證碼），以提高賬號的安全性。具體操作，請參見啟用MFA。

使用RAM用戶而不是阿里云賬號，并合理設(shè)置權(quán)限策略

云產(chǎn)品API調(diào)用使用實例角色而不是AK

一般情況下，ECS實例的應(yīng)用程序是通過阿里云賬號或者RAM用戶的AccessKey訪問阿里云各產(chǎn)品的API。為了滿足調(diào)用需求，需要直接把AccessKey固化在實例中，例如寫在配置文件中。但是這種方式權(quán)限過高，存在泄露信息和難以維護(hù)等問題。因此，阿里云推出了實例RAM角色解決這些問題，一方面可以保證AccessKey安全，另一方面也可以借助RAM實現(xiàn)權(quán)限的精細(xì)化控制和管理。

實例RAM角色（推薦使用加固模式訪問元數(shù)據(jù)）允許您將一個角色關(guān)聯(lián)到ECS實例，在實例內(nèi)部基于STS（Security Token Service）臨時憑證（臨時憑證將周期性更新）訪問其他云產(chǎn)品的API。更多信息，請參見實例RAM角色概述。

AK防泄密

阿里云賬號AccessKey是客戶訪問阿里云API的密鑰，請務(wù)必妥善保管。請勿通過任何方式（如GitHub等）將AccessKey公開至外部渠道，以免被惡意利用而造成安全威脅。AccessKey泄露會威脅所有資源的安全，根據(jù)如下AK信息使用的安全建議，可以有效降低AccessKey泄露的風(fēng)險。

賬號、密碼管理安全建議

規(guī)模化信息資產(chǎn)管理

規(guī)模化、自動化運(yùn)維與審計云上資源，避免因錯誤的配置變更造成例外或單點(diǎn)資產(chǎn)保護(hù)遺漏情況。建議您統(tǒng)一實例、安全組的命名規(guī)范與部署約定，定期檢測、提醒或刪除不符合命名規(guī)范的安全組和實例。使用標(biāo)簽規(guī)模化管理資源、使用云助手自動化運(yùn)維資源通道、使用配置審計對資源進(jìn)行合規(guī)審計。

使用標(biāo)簽規(guī)模化管理資源

• 使用標(biāo)簽可以規(guī)模化識別、分類和定位云資源。在發(fā)生安全事件時，通過標(biāo)簽可以快速定位安全事件的作用范圍和影響程度。

• 在配置安全策略時，例如安全組，可以批量為指定標(biāo)簽的資源配置安全組，避免單個資源配置的遺漏。

更多信息，請參見標(biāo)簽。

使用云助手自動化運(yùn)維資源通道

使用配置審計（Config）對資源進(jìn)行合規(guī)審計

配置審計（Config）是面向云上資源的審計服務(wù)，為用戶提供跨區(qū)域的資源清單和檢索能力，記錄資源的歷史配置快照，形成配置時間線。當(dāng)資源發(fā)生配置變更時，自動觸發(fā)合規(guī)評估，并針對不合規(guī)配置發(fā)出告警。使用戶能夠?qū)崿F(xiàn)對海量云上資源合規(guī)性的自主監(jiān)控，應(yīng)對企業(yè)內(nèi)部和外部合規(guī)的需要。更多信息，請參見配置審計。

創(chuàng)建實例時啟用安全合規(guī)特性

高安全要求業(yè)務(wù)使用增強(qiáng)計算實例

使用更安全的鏡像

• 使用公共鏡像并開啟鏡像安全加固

  • 使用官方提供的公共鏡像。

  • 公共實例鏡像啟用免費(fèi)安全加固能力，提供網(wǎng)站漏洞檢查、云產(chǎn)品安全配置檢查、主機(jī)登錄異常告警等安全功能。

  

• 使用加密的自定義鏡像

  使用國際標(biāo)準(zhǔn)認(rèn)證的AES-256算法對鏡像進(jìn)行加密，避免鏡像丟失后數(shù)據(jù)泄露風(fēng)險。用戶可選擇創(chuàng)建加密的系統(tǒng)盤、數(shù)據(jù)盤，如果云盤是加密云盤，使用該云盤創(chuàng)建的快照也是加密鏡像，或者在對已有的未加密鏡像拷貝時選擇加密，生成的新鏡像為加密鏡像。如果自定義加密鏡像需要共享給其他阿里云賬號時，建議用戶為共享加密鏡像創(chuàng)建獨(dú)立的BYOK密鑰，避免KMS密鑰泄露導(dǎo)致安全風(fēng)險。更多信息，請參見復(fù)制自定義鏡像。

云盤數(shù)據(jù)加密（需開啟KMS）

快照容災(zāi)備份

• 使用快照備份

  數(shù)據(jù)備份是容災(zāi)的基礎(chǔ)，可以降低因系統(tǒng)故障、操作失誤以及安全問題而導(dǎo)致數(shù)據(jù)丟失的風(fēng)險。ECS自帶的快照功能可滿足大部分用戶數(shù)據(jù)備份的需求。您可根據(jù)自身業(yè)務(wù)需求選擇創(chuàng)建快照的方式。具體操作，請參見創(chuàng)建快照。

  建議您每日創(chuàng)建一次自動快照，每個快照至少保留7天。養(yǎng)成良好的備份習(xí)慣，在故障發(fā)生時可以快速恢復(fù)重要數(shù)據(jù)，減少損失。

  

• 使用加密的快照

  ECS加密采用行業(yè)標(biāo)準(zhǔn)的AES-256加密算法，使用密鑰加密快照，避免快照丟失后數(shù)據(jù)泄露風(fēng)險。您可以選擇創(chuàng)建加密的云盤，如果云盤是加密云盤，使用該云盤創(chuàng)建的快照也是加密快照。

加固模式下訪問實例元數(shù)據(jù)

實例元數(shù)據(jù)包含了ECS實例在阿里云系統(tǒng)中的信息，您可以在運(yùn)行中的實例內(nèi)方便地查看實例元數(shù)據(jù)，并基于實例元數(shù)據(jù)配置或管理實例。更多信息，請參見ECS實例元數(shù)據(jù)概述。

合理設(shè)置網(wǎng)絡(luò)資源權(quán)限隔離

云計算利用專有網(wǎng)絡(luò)VPC（Virtual Private Cloud）來抽象物理網(wǎng)絡(luò)并創(chuàng)建網(wǎng)絡(luò)資源池，實現(xiàn)數(shù)據(jù)鏈路層的隔離，為每個用戶提供一張獨(dú)立隔離的安全網(wǎng)絡(luò)環(huán)境。不同VPC之間內(nèi)部網(wǎng)絡(luò)完全隔離，只能通過對外映射的IP互連。在VPC內(nèi)部，用戶可以自定義IP地址范圍、網(wǎng)段、路由表和網(wǎng)關(guān)等。此外，用戶可以通過VPN網(wǎng)關(guān)、高速通道物理專線、智能接入網(wǎng)關(guān)等服務(wù)將本地數(shù)據(jù)中心和云上VPC打通，也可以通過云企業(yè)網(wǎng)實現(xiàn)全球網(wǎng)絡(luò)互通，從而形成一個按需定制的網(wǎng)絡(luò)環(huán)境，實現(xiàn)應(yīng)用的平滑遷移上云和對數(shù)據(jù)中心的擴(kuò)展。

此外，網(wǎng)絡(luò)是所有云服務(wù)的基礎(chǔ)要素，網(wǎng)絡(luò)攻擊種類多、危害大，是最難防護(hù)的風(fēng)險之一。云計算平臺會提供一套成熟的網(wǎng)絡(luò)安全架構(gòu)，以應(yīng)對來自互聯(lián)網(wǎng)的各種威脅。在阿里云上，可以通過安全組、網(wǎng)絡(luò)ACL、路由策略或網(wǎng)絡(luò)專線來控制虛擬網(wǎng)絡(luò)的訪問權(quán)限。除了對內(nèi)網(wǎng)網(wǎng)絡(luò)訪問的控制之外，還需要配置云防火墻、應(yīng)用程序防火墻、DDoS防護(hù)等安全措施，針對各種外部網(wǎng)絡(luò)安全威脅進(jìn)行安全防護(hù)。

網(wǎng)絡(luò)資源隔離的安全建議

搭建安全的網(wǎng)絡(luò)環(huán)境

• 合理設(shè)置安全組，網(wǎng)絡(luò)隔離減少攻擊面

  安全組是重要的網(wǎng)絡(luò)安全隔離手段，用于設(shè)置單臺或多臺云服務(wù)器的網(wǎng)絡(luò)訪問控制。通過設(shè)置安全組規(guī)則，可以在網(wǎng)絡(luò)層過濾服務(wù)器的主動/被動訪問行為，限定服務(wù)器對外/對內(nèi)的端口訪問，授權(quán)訪問地址，從而減少攻擊面，保護(hù)服務(wù)器的安全。

  例如Linux系統(tǒng)默認(rèn)遠(yuǎn)程管理端口22，不建議直接向外網(wǎng)開放，可以通過配置ECS公網(wǎng)訪問控制，只授權(quán)本地固定IP對服務(wù)器進(jìn)行訪問。如果您對訪問控制有更高要求，可以使用第三方VPN產(chǎn)品對登錄行為進(jìn)行數(shù)據(jù)加密。以下是安全組實踐的安全建議：

  安全建議	說明	參考文檔
  最小原則	安全組應(yīng)該是白名單性質(zhì)的，所以需盡量開放和暴露最少的端口，同時盡可能少地分配公網(wǎng)IP。如果需要訪問線上機(jī)器進(jìn)行任務(wù)日志或錯誤排查的時，盡量通過VPN或堡壘機(jī)方式登錄。如果配置不當(dāng)可能導(dǎo)致業(yè)務(wù)的端口或者IP暴露在互聯(lián)網(wǎng)，造成安全威脅。 利用安全組限制，禁止私網(wǎng)訪問，公網(wǎng)安全組和私網(wǎng)安全組都只保留業(yè)務(wù)需要使用的端口。 ECS上安裝的高危服務(wù)端口，需要限制只允許本機(jī)訪問或者利用安全組限制訪問來源IP。 HTTP服務(wù)的管理后臺，需要利用安全組限制訪問來源IP。HTTP服務(wù)域名則需要開啟云安全中心Web應(yīng)用防火墻WAF（Web Application Firewall）功能。	安全組應(yīng)用案例
  避免設(shè)置0.0.0.0/0授權(quán)對象	允許全部入網(wǎng)訪問是經(jīng)常犯的錯誤。使用0.0.0.0/0意味著所有的端口都對外暴露了訪問權(quán)限，這是非常不安全的。正確的做法是，拒絕所有的端口對外開放，設(shè)置安全組白名單訪問。例如，如果您需要暴露Web服務(wù)，默認(rèn)情況下只開放80、8080和443等常用TCP端口，其他端口都應(yīng)關(guān)閉。	添加安全組規(guī)則
  關(guān)閉不需要的入網(wǎng)規(guī)則	如果您當(dāng)前使用的入規(guī)則已經(jīng)包含了0.0.0.0/0，您需要重新審視自己的應(yīng)用需要對外暴露的端口和服務(wù)。如果確定不需要讓某些端口直接對外提供服務(wù)，您可以添加一條拒絕的規(guī)則。例如，您的服務(wù)器上安裝了MySQL數(shù)據(jù)庫服務(wù)，默認(rèn)情況下不應(yīng)該將3306端口暴露到公網(wǎng)，此時，您可以添加一條拒絕規(guī)則，并將其優(yōu)先級設(shè)置為100，即優(yōu)先級最低。	添加安全組規(guī)則
  以安全組為授權(quán)對象添加規(guī)則	不同的安全組按照最小原則開放相應(yīng)的出入規(guī)則。對于不同的應(yīng)用分層，應(yīng)該使用不同的安全組，不同的安全組應(yīng)有相應(yīng)的出入規(guī)則。 例如，如果是分布式應(yīng)用，您會區(qū)分不同的安全組，但是不同的安全組可能網(wǎng)絡(luò)不通，此時您不應(yīng)該直接授權(quán)IP或者CIDR網(wǎng)段，而是直接授權(quán)另一個安全組ID，所有的資源都可以直接訪問。 例如，您的應(yīng)用對Web、Database分別創(chuàng)建了不同的安全組sg-web和sg-database。在sg-database中，您可以添加規(guī)則，授權(quán)所有的sg-web安全組的資源訪問您的3306端口。	添加安全組規(guī)則
  經(jīng)典網(wǎng)絡(luò)的內(nèi)網(wǎng)安全組規(guī)則不要使用CIDR或者IP授權(quán)	對于經(jīng)典網(wǎng)絡(luò)類型的ECS實例，阿里云默認(rèn)不開啟任何內(nèi)網(wǎng)的入站規(guī)則。內(nèi)網(wǎng)的授權(quán)一定要謹(jǐn)慎。	安全組規(guī)則
  定義合理的安全組名稱和標(biāo)簽	合理的安全組名稱和描述有助于您快速識別當(dāng)前復(fù)雜的規(guī)則組合，您可以通過修改名稱和描述來幫助自己識別安全組。 您也可以通過為安全組設(shè)置標(biāo)簽來分組管理自己的安全組。您可以在控制臺直接設(shè)置標(biāo)簽，也可以通過API設(shè)置標(biāo)簽。	修改安全組 創(chuàng)建或綁定標(biāo)簽
  將需要互相通信的ECS實例加入同一個安全組	一個ECS實例最多可以加入5個安全組，而同一安全組內(nèi)的ECS實例之間是網(wǎng)絡(luò)互通的。如果您在規(guī)劃時已經(jīng)有多個安全組，且直接設(shè)置多個安全規(guī)則過于復(fù)雜，您可以新建一個安全組，然后將需要內(nèi)網(wǎng)通訊的ECS實例加入這個新的安全組。 不建議您將所有的ECS實例都加入同一個安全組，對于一個中大型應(yīng)用來說，每個服務(wù)器所扮演的角色不同，合理地規(guī)劃每個服務(wù)器的入方向請求和出方向請求是非常有必要的。	安全組與ECS實例關(guān)聯(lián)的管理
  安全組內(nèi)實例間隔離	安全組是一種虛擬防火墻，具備狀態(tài)檢測和包過濾功能。安全組由同一個地域內(nèi)具有相同安全保護(hù)需求并相互信任的實例組成。為了滿足同安全組內(nèi)實例之間網(wǎng)絡(luò)隔離的需求，阿里云豐富了安全組網(wǎng)絡(luò)連通策略，支持安全組內(nèi)實現(xiàn)網(wǎng)絡(luò)隔離。	普通安全組內(nèi)網(wǎng)絡(luò)隔離
  使用安全組五元組規(guī)則	安全組用于設(shè)置單臺或多臺ECS實例的網(wǎng)絡(luò)訪問控制，它是重要的網(wǎng)絡(luò)安全隔離手段，用于在云端劃分安全域。安全組五元組規(guī)則能精確控制源IP、源端口、目的IP、目的端口以及傳輸層協(xié)議。	安全組五元組規(guī)則
  公網(wǎng)服務(wù)的云服務(wù)器和內(nèi)網(wǎng)服務(wù)器盡量屬于不同的安全組	是否對外提供公網(wǎng)服務(wù)，包括主動暴露某些端口對外部訪問（例如80、443等），被動地提供端口轉(zhuǎn)發(fā)規(guī)則（例如云服務(wù)器具有公網(wǎng)IP、EIP、NAT端口轉(zhuǎn)發(fā)規(guī)則等），都會導(dǎo)致自己的應(yīng)用可能被公網(wǎng)訪問。 兩種場景的云服務(wù)器所屬的安全組規(guī)則要采用最嚴(yán)格的規(guī)則，默認(rèn)情況下應(yīng)當(dāng)關(guān)閉所有的端口和協(xié)議，僅僅暴露對外提供需要服務(wù)的端口，例如80、443。由于僅對屬于對外公網(wǎng)訪問的服務(wù)器編組，調(diào)整安全組規(guī)則時也比較容易控制。 對于對外提供服務(wù)器編組的職責(zé)應(yīng)該比較明晰和簡單，避免在同樣的服務(wù)器上對外提供其他服務(wù)。例如MySQL、Redis等，建議將這些服務(wù)安裝在沒有公網(wǎng)訪問權(quán)限的云服務(wù)器上，然后通過安全組的組組授權(quán)來訪問。	添加安全組規(guī)則

• 合理配置安全域隔離企業(yè)內(nèi)部不同安全等級服務(wù)

  您可以基于VPC專有網(wǎng)絡(luò)，構(gòu)建自定義專屬網(wǎng)絡(luò)，隔離企業(yè)內(nèi)部不同安全級別的服務(wù)器，避免互通網(wǎng)絡(luò)環(huán)境下受其他服務(wù)器影響。建議您創(chuàng)建一個專有網(wǎng)絡(luò)，選擇自有IP地址范圍、劃分網(wǎng)段、配置路由表和網(wǎng)關(guān)等。然后將重要的數(shù)據(jù)存儲在一個跟互聯(lián)網(wǎng)網(wǎng)絡(luò)完全隔離的內(nèi)網(wǎng)環(huán)境，日常可以用彈性公網(wǎng)IP（EIP）或者跳板機(jī)的方式對數(shù)據(jù)進(jìn)行管理。具體操作，請參見創(chuàng)建和管理專有網(wǎng)絡(luò)。

• 使用跳板機(jī)或堡壘機(jī)防御內(nèi)部和外部入侵破壞

  跳板機(jī)由于其自身的權(quán)限巨大，需要通過工具做好審計記錄，建議直接使用堡壘機(jī)，保障網(wǎng)絡(luò)和數(shù)據(jù)不受來自外部和內(nèi)部用戶的入侵和破壞，而運(yùn)用各種技術(shù)手段監(jiān)控和記錄運(yùn)維人員對網(wǎng)絡(luò)內(nèi)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、數(shù)據(jù)庫等設(shè)備的操作行為，以便集中報警、及時處理及審計定責(zé)。

  在專有網(wǎng)絡(luò)中，建議將跳板機(jī)分配在專有的虛擬交換機(jī)中，并為其提供相應(yīng)的EIP或者NAT端口轉(zhuǎn)發(fā)表。首先創(chuàng)建專有的安全組SG_BRIDGE，例如開放相應(yīng)的端口，如Linux TCP(22) 或者Windows RDP(3389)。為了限制安全組的入網(wǎng)規(guī)則，可以將能登錄的授權(quán)對象限制為企業(yè)的公網(wǎng)出口范圍，減少被登錄和掃描的概率。然后將作為跳板機(jī)的云服務(wù)器加入到該安全組中。為了讓該機(jī)器能訪問相應(yīng)的云服務(wù)器，可以配置相應(yīng)的組授權(quán)。例如在SG_CURRENT添加一條規(guī)則允許SG_BRIDGE訪問某些端口和協(xié)議。使用跳板機(jī)SSH時，建議您優(yōu)先使用密鑰對而不是密碼登錄。關(guān)于密鑰對的更多信息，請參見SSH密鑰對。

• 公網(wǎng)IP合理分配，降低公網(wǎng)攻擊風(fēng)險

  不論是經(jīng)典網(wǎng)絡(luò)還是專有網(wǎng)絡(luò)（VPC）中，合理地分配公網(wǎng)IP可以讓系統(tǒng)更加方便地進(jìn)行公網(wǎng)管理，同時減少系統(tǒng)受攻擊的風(fēng)險。在專有網(wǎng)絡(luò)的場景下，創(chuàng)建虛擬交換機(jī)時，建議您盡量將需要公網(wǎng)訪問的服務(wù)區(qū)的IP地址區(qū)間放在固定的幾個交換機(jī)（子網(wǎng)CIDR）中，方便審計和區(qū)分，避免不小心暴露公網(wǎng)訪問。

  • 在分布式應(yīng)用中，大多數(shù)應(yīng)用都有不同的分層和分組，對于不提供公網(wǎng)訪問的云服務(wù)器，盡量不提供公網(wǎng)IP，如果有多臺服務(wù)器提供公網(wǎng)訪問，建議您配置公網(wǎng)流量分發(fā)的負(fù)載均衡服務(wù)來提供公網(wǎng)服務(wù)，以提升系統(tǒng)的可用性。更多信息，請參見負(fù)載均衡SLB。

  • 當(dāng)您的云服務(wù)器需要訪問公網(wǎng)時，優(yōu)先建議您使用NAT網(wǎng)關(guān)，用于為VPC內(nèi)無公網(wǎng)IP的ECS實例提供訪問互聯(lián)網(wǎng)的代理服務(wù)，您只需要配置相應(yīng)的SNAT規(guī)則即可為具體的CIDR網(wǎng)段或子網(wǎng)提供公網(wǎng)訪問能力，避免因只需要訪問公網(wǎng)的能力而在分配了公網(wǎng)IP（EIP）之后也向公網(wǎng)暴露了服務(wù)。更多信息，請參見VPN網(wǎng)關(guān)。

使用云安全產(chǎn)品構(gòu)建安全防御體系

網(wǎng)絡(luò)流量攻擊防護(hù)：基礎(chǔ)DDoS防御（免費(fèi)）與DDoS高防

DDoS（Distributed Denial of Service，即分布式拒絕服務(wù)）攻擊指借助于客戶、服務(wù)器技術(shù)，聯(lián)合多個計算機(jī)作為攻擊平臺，對一個或多個目標(biāo)發(fā)動攻擊，成倍地提高拒絕服務(wù)攻擊的威力，影響業(yè)務(wù)和應(yīng)用對用戶提供服務(wù)。阿里云云安全中心可以防護(hù)SYN Flood、UDP Flood、ACK Flood、ICMP Flood、DNS Flood、CC攻擊等3到7層DDoS的攻擊。DDoS基礎(chǔ)防護(hù)免費(fèi)提供高達(dá)5 GB的默認(rèn)DDoS防護(hù)能力。

ECS實例默認(rèn)開啟DDoS基礎(chǔ)防護(hù)服務(wù)。使用DDoS基礎(chǔ)防護(hù)服務(wù)，無需采購昂貴的清洗設(shè)備，受到DDoS攻擊時不會影響訪問速度，帶寬充足不會被其他用戶連帶影響，保證業(yè)務(wù)的可用性和穩(wěn)定性。ECS實例創(chuàng)建后，您可以設(shè)置清洗閾值，具體操作，請參見設(shè)置流量清洗閾值。

系統(tǒng)漏洞攻擊防護(hù)：云安全中心（免費(fèi)版）

云安全中心是一個實時識別、分析、預(yù)警安全威脅的統(tǒng)一安全管理系統(tǒng)，通過防勒索、防病毒、防篡改、合規(guī)檢查等安全能力，實現(xiàn)威脅檢測、響應(yīng)、溯源的自動化安全運(yùn)營閉環(huán)，保護(hù)云上資產(chǎn)和本地主機(jī)，并滿足監(jiān)管合規(guī)要求。

云安全中心自動為您開通免費(fèi)版功能。免費(fèi)版僅提供主機(jī)異常登錄檢測、漏洞檢測、云產(chǎn)品安全配置項檢測，如需更多高級威脅檢測、漏洞修復(fù)、病毒查殺等功能，請前往云安全中心控制臺購買付費(fèi)版。更多信息，請參見云安全中心免費(fèi)版簡介。

應(yīng)用漏洞攻擊防護(hù)：云安全中心Web防火墻

云安全中心Web應(yīng)用防火墻（Web Application Firewall，簡稱WAF）基于云安全大數(shù)據(jù)能力實現(xiàn)，通過防御SQL注入、XSS跨站腳本、常見Web服務(wù)器插件漏洞、木馬上傳、非授權(quán)核心資源訪問等OWASP常見攻擊，過濾海量惡意CC攻擊，避免您的網(wǎng)站資產(chǎn)數(shù)據(jù)泄露，保證網(wǎng)站的安全與可用性。更多信息，請參見什么是Web應(yīng)用防火墻。

實例GuestOS系統(tǒng)內(nèi)應(yīng)用安全

實例登錄安全配置

實例登錄賬號權(quán)限默認(rèn)為非root權(quán)限，用戶需要在本地通過su或sudo提權(quán)至root，默認(rèn)狀態(tài)不支持root直接使用pem密鑰文件登錄。建議使用安全的訪問控制協(xié)議訪問ECS主機(jī)，并根據(jù)鏡像類型選擇不同的登錄憑證。Linux系統(tǒng)建議配置只支持RSA密鑰對的方式登錄，不支持在控制臺創(chuàng)建口令。Windows系統(tǒng)建議使用8位以上、包含特殊字符的復(fù)雜密碼作為登錄憑證。

避免服務(wù)弱口令

使用IDaaS認(rèn)證應(yīng)用系統(tǒng)身份權(quán)限

云身份服務(wù) IDaaS（Alibaba Cloud Identity as a Service）是阿里云為企業(yè)用戶提供的云原生的、經(jīng)濟(jì)的、便捷的、標(biāo)準(zhǔn)的身份、權(quán)限管理體系。IDaaS提供一站式組織架構(gòu)、賬戶全生命周期管理、應(yīng)用接入實現(xiàn)單點(diǎn)登錄（SSO），并控制賬號所具備的權(quán)限等能力。更多信息，請參見IDaaS。

數(shù)據(jù)傳輸加密

配置安全組或防火墻，僅允許已經(jīng)對數(shù)據(jù)加密的網(wǎng)絡(luò)服務(wù)的端口之間進(jìn)行通信。可使用傳輸層安全性（TLS1.2及以上版本）等加密協(xié)議加密在客戶端和實例之間傳輸?shù)拿舾袛?shù)據(jù)。

日志異常監(jiān)控與審計

根據(jù)FireEye M-Trends 2018報告，企業(yè)安全防護(hù)管理能力薄弱，尤其是亞太地區(qū)。全球范圍內(nèi)企業(yè)組織的攻擊從發(fā)生到發(fā)現(xiàn)所需時長平均101天，而亞太地域平均需要498天。企業(yè)需要可靠、無篡改的日志記錄與審計支持來持續(xù)縮短這個時間。