一、主機安全（云安全中心）

阿里云云安全中心充分利用云原生架構優勢、多年云上安全防護經驗和前沿的安全攻防技術，提供涵蓋云資產管理、安全配置核查、主動防御、安全加固、云產品配置評估和安全可視化等關鍵領域的全面的安全解決方案。包含基線配置風險、合規風險、漏洞風險、AK泄露風險、身份和權限管理風險等方面的實時檢測能力，有效防御勒索軟件、挖礦病毒、木馬、Webshell等惡意行為，以及網頁篡改等攻擊。云安全中心詳細介紹請參考：云安全中心。

云安全中心支持邊緣云（ENS）的安全能力

云安全中心開通及部署

1. 購買云安全中心：

   您可以在阿里云官網的云安全中心產品頁直接購買云安全中心產品，云安全中心針對不同場景下的安全防護需求，提供了多個版本的基礎防護服務和增值服務。您可以根據自身的安全需求，靈活購買所需的版本和增值服務。詳情請參見：購買云安全中心。

2. 在ENS實例上安裝云安全中心客戶端：

   邊緣節點服務 ENS計算實例只有安裝客戶端后，才能使用云安全中心的安全防護能力。云安全中心客戶端是安裝在計算實例中的軟件程序，用于收集和分析多種日志和數據，以監控和檢測實例中潛在的安全威脅。

   1. 在安裝云安全中心客戶端前，請先確認您的邊緣節點服務 ENS計算實例可以訪問公網。

   2. 登錄ENS計算實例，使用管理員或者root權限執行客戶端安裝命令。

      1. Linux系統安裝命令

         wget "https://aegis.alicdn.com/download/install/2.0/linux/AliAqsInstall.sh" && chmod +x AliAqsInstall.sh && ./AliAqsInstall.sh -k=v342lk

      2. Windows系統CMD安裝命令

         powershell -executionpolicy bypass -c "(New-Object Net.WebClient).DownloadFile('http://aegis.alicdn.com/download/install/2.0/windows/AliAqsInstall.exe',$ExecutionContext.SessionState.Path.GetUnresolvedProviderPathFromPSPath('.\AliAqsInstall.exe'))"; "./AliAqsInstall.exe -k=Az481e"

3. 驗證客戶端是否安裝成功：

   安裝客戶端后，云安全中心會在您的服務器中下載客戶端相關文件，并啟動相應進程。您可以通過確認客戶端進程的狀態或在云安全中心控制臺上查看客戶端狀態，判斷客戶端是否安裝成功。

   如圖所示，您可以查看到一個邊緣節點服務 ENS計算實例已經納入云安全中心的主機資產管理中。

   

   說明

   因邊緣云算力是分散在阿里云中心云之外的節點上，所以在云安全中心中顯示為云外主機。

二、節點內網絡安全

1.安全組

安全組是邊緣節點服務 ENS在邊緣節點提供的一種虛擬防火墻能力，能夠控制ENS實例的出入站流量。安全組的入方向規則控制ENS實例的入站流量，出方向規則控制ENS實例的出站流量。

安全組的使用流程分四步：

1. 創建安全組：

   邊緣云的安全組創建與中心云安全組創建是存在差異的，在創建邊緣云安全組時只需錄入安全組名稱即可。邊緣云安全組不歸屬于任何節點以及任何VPC網絡，安全組及其規則可以在全局任意節點及VPC生效。

   

2. 添加安全組規則：

   • 安全組規則用來控制ENS實例的出入站流量。適用于允許或拒絕特定網絡流量、封鎖不必要的端口、限制特定協議的流量和配置應用程序訪問權限等使用場景。

   • 您可以在創建安全組時同步添加安全組規則，也可以在安全組創建后再添加安全組規則。

3. ENS實例加入安全組：

   創建ENS實例時，您至多可以指定加入一個安全組。后續可以根據業務需求，在ENS實例列表頁將實例加入多個安全組，在決定ENS實例的流量能否通過時，會將ENS實例多個安全組的規則匯總在一起，按照固定的策略排序，并與安全組對流量的默認訪問控制規則一起，作用于ENS實例，決定允許或拒絕流量通過。

4. 管理安全組規則：

   • 安全組規則設置不當可能導致嚴重的安全隱患。您可結合自身實際業務需求管理安全組規則，以保障ENS實例的網絡安全。

   • 您可以在安全組詳情頁進行安全組出入向規則的修改操作，一旦安全組規則修改，會作用于邊緣云全部節點上加入該安全組的所有ENS實例。

三、運維安全（運維安全中心）

運維安全中心是阿里云提供的運維和安全審計管控平臺，可集中管理運維權限，全程管控操作行為，實時還原運維場景，保障運維行為身份可鑒別、權限可管控、操作可審計，解決資產多、難管理、運維職責權限不清晰以及運維事件難追溯等問題，助力企業滿足等保合規需求。運維安全中心詳細介紹請參考：運維安全中心（堡壘機）。

運維安全中心支持邊緣云（ENS）的能力

運維邊緣節點服務 ENS資源，需要使用運維安全中心的企業雙引擎版本，通過網絡域代理模式實現邊緣云資產的統一運維管控。

運維安全中心開通及部署

1. 購買運維安全中心：

   您可以在阿里云官網的運維安全中心產品頁直接購買運維安全中心產品，運維安全中心針對不同場景下的運維安全需求，提供了多個版本的堡壘機服務。詳情請參見：開通免費試用。

2. 管理邊緣節點服務 ENS計算實例：

   在運維安全中心購買云堡壘機后，可進入云堡壘機管理界面進行管理。

   1. 新建網絡域：

      • 云堡壘機運行在阿里云中心云上，邊緣云算力分散在阿里云中心云之外的節點上，因此邊緣云算力與云堡壘機所在專有網絡VPC的內網是不互通的，在運維邊緣節點服務 ENS實例時推薦使用云堡壘機的網絡域功能。

      • 您可以為邊緣節點服務 ENS資產配置一臺代理服務器，然后在云堡壘機中新建網絡域并添加代理服務器，將資產加入該網絡域后即可通過云堡壘機運維資產。

      • 在網絡域列表頁新建網絡域，配置連接方式為代理，并配置主代理服務器信息。

        

      • 主代理服務器需要配置代理方式、服務器地址、服務器端口、主機賬戶及密碼相關信息。代理方式支持SSH代理、HTTP代理、SOCKS5代理三種方式。

        

   2. 資產管理-導入邊緣節點服務 ENS計算實例：

      • 在主機列表頁選擇導入其他來源主機，通過新建主機方式納管ENS實例。

      • 新建主機需要配置操作系統、主機IP、主機名、網絡域等相關信息。

      • 如果網絡域選擇代理方式，主機IP配置內網IP，如果網絡域選擇直連方式，主機IP配置公網IP。

        

   3. 資產管理-新建主機賬戶：

      將ENS計算實例導入為主機資產后，可在主機列表頁的操作列點擊新建主機賬戶，配置訪問協議、登錄名、認證類型及對應的密碼或密鑰，用于日常運維訪問。

      

   4. 人員管理-授權主機：

      在主機被導入后，可進入人員管理>用戶列表頁，為RAM用戶授權可運維的主機資源。

      

   5. 資產運維：

      被授權的RAM用戶登錄后，可在資產運維>主機運維列表頁下查看到被授權運維的主機資源，可通過遠程連接方式進行主機運維操作。

      

四、攻擊防護（DDoS高防）

DDoS高防（Anti-DDoS）是阿里云提供的DDoS攻擊代理防護服務，可以抵御流量型和資源耗盡型DDoS攻擊，支持防護阿里云、非阿里云或云外的服務器。業務接入DDoS高防后，當遭受大流量DDoS攻擊時，DDoS高防通過DNS解析將流量調度到高防機房進行清洗，并將干凈流量轉發給服務器。

DDoS高防詳細介紹請參考：什么是DDoS高防。

DDoS高防支持邊緣云（ENS）的能力

根據業務服務器部署地域的不同，DDoS高防提供DDoS高防（中國內地）和DDoS高防（非中國內地）。

• DDoS高防（中國內地）：適用于業務服務器部署在中國內地的場景。采用中國內地獨有的T級八線BGP帶寬資源，為接入防護的業務防御超大流量的DDoS攻擊。提供專業版和高級版兩種實例類型。

• DDoS高防（非中國內地）：適用于業務服務部署在非中國內地的場景。依托先進的分布式近源清洗能力，為接入防護的業務提供不設上限的DDoS攻擊全力防護能力。

DDoS高防開通及部署

1. 購買DDoS高防：

   您可以在阿里云官網的DDoS高防產品頁直接購買DDoS高防產品。詳情請參見：DDoS高防（新BGP）。

2. 接入管理：

   1. 域名接入

      如果是網站業務，可將網站域名配置到DDoS高防，DDoS高防會為網站生成一個CNAME地址，您需要將網站域名的DNS解析指向高防CNAME地址，DDoS高防才能轉發業務流量為網站防御DDoS攻擊。

      

   2. 端口接入

      非網站業務（例如客戶端應用程序）接入DDoS高防時，需要配置端口轉發規則，使業務流量先經過DDoS高防清洗，再轉發到源站服務器。

      

3. 配置驗證：

   成功添加DDoS高防網站或端口配置后，DDoS高防預期會把請求高防IP對應端口的報文轉發到源站（真實服務器）的對應端口。為了保證業務的穩定，我們建議您在進行業務接入高防配置前先完成本地驗證，確保轉發配置已經生效。