Quick start: Unified protection for cloud assets using Cloud Firewall - Cloud Firewall

Cloud Firewall es un firewall de tipo Software-as-a-Service (SaaS) que ofrece seguridad unificada, eficiente e inteligente para sus activos en la nube. Esta guía acompaña a los usuarios nuevos durante todo el proceso: desde la activación del servicio y la protección automática de activos hasta la configuración de políticas de seguridad y la comprobación de su eficacia. Así podrá establecer rápidamente la primera línea de defensa de red en su entorno en la nube.

Paso 1: Activar Cloud Firewall con modalidad pay-as-you-go

Vaya a la página de compra de Cloud Firewall, establezca Product Type en Pay-as-you-go 2.0 y configure los siguientes parámetros.

Parámetro	Descripción
Auto Protection for Internet Assets	Seleccione Yes para agregar automáticamente todos los activos públicos al firewall y habilitar la protección de cualquier activo nuevo. Más adelante puede modificar esta configuración en la consola.
Log Analysis y Log Analysis and Storage Capacity	Se recomienda mantener la configuración predeterminada para almacenar los registros de acceso. Esta función permite recopilar, consultar, analizar y procesar en tiempo real los registros de tráfico de los activos protegidos, lo cual ayuda a cumplir los requisitos de normatividad.
Service-linked Role	Cloud Firewall necesita acceder a sus recursos en la nube para ofrecer funciones como el control de acceso y el monitoreo del tráfico. Haga clic en Create Service-linked Role. El sistema crea automáticamente el rol vinculado al servicio AliyunServiceRoleForCloudFW. No modifique este rol.

Lea y acepte el contrato de servicio de Cloud Firewall (pay-as-you-go). Después, haga clic en Buy Now y complete el pago.

Paso 2: Consultar los activos públicos y su estado de protección

Inicie sesión en la consola de Cloud Firewall. En el panel de navegación izquierdo, haga clic en Firewall.
En la pestaña Internet Firewall, consulte los activos públicos de su cuenta de Alibaba Cloud y su estado de protección. Como habilitó Auto Protection for Internet Assets durante la compra, la columna Firewall Status de todos los activos públicos muestra de forma predeterminada el valor Protected.

Paso 3: Revisar el sistema de prevención de intrusiones (IPS)

El sistema de prevención de intrusiones (IPS) integrado en Cloud Firewall detecta y bloquea en tiempo real una amplia variedad de amenazas conocidas. Entre ellas se incluyen ataques de red, explotación de vulnerabilidades, intentos de fuerza bruta, propagación de gusanos, actividades de criptominería, comunicaciones de puertas traseras y ataques de denegación de servicio (DoS).

Siga estos pasos para consultar las reglas del IPS.

En el panel de navegación izquierdo, elija Prevention Configuration > IPS Configuration.
De forma predeterminada, el sistema habilita las funciones Basic Protection y Virtual Patching. Además, establece Threat Engine Mode en Block - Medium, opción adecuada para la mayoría de los casos de uso.

Paso 4: Configurar las políticas de lista de control de acceso (ACL)

Cloud Firewall le permite configurar políticas de control de acceso independientes para distintos activos, lo que brinda un control detallado sobre el tráfico entrante y saliente de cada uno.

De manera predeterminada, Cloud Firewall incluye varias políticas con Action establecida en Allow. Para consultarlas, elija Prevention Configuration > Access Control > Policy Configuration > Internet Border en el panel de navegación izquierdo.

Dirección	Source	Destino	Protocol	Port	Descripción
Saliente	0.0.0.0/0	0.0.0.0/0	ICMP	-	Permite que los activos en la nube envíen solicitudes ICMP salientes, como `ping`, para comprobar la conectividad de la red.
Saliente	0.0.0.0/0	0.0.0.0/0	UDP	53	Permite que los activos en la nube envíen solicitudes de consulta DNS para resolver nombres de dominio, por ejemplo, al acceder a sitios web o realizar detección de servicios.
Saliente	0.0.0.0/0	0.0.0.0/0	UDP	123	Permite que los activos en la nube se conecten a servidores NTP para sincronizar la hora y garantizar la precisión del reloj del sistema.
Entrante	0.0.0.0/0	0.0.0.0/0	ICMP	-	Permite que las redes externas ejecuten operaciones `ping` hacia los activos en la nube para verificar la conectividad y diagnosticar problemas.

Dado que la mayoría de los ciberataques provienen de redes públicas, debe configurar políticas de seguridad alineadas con las necesidades de su negocio. Se recomienda usar un enfoque de lista de permitidos: cree una política general de denegar todo con la prioridad más baja y luego agregue políticas de permiso específicas con mayor prioridad.

Importante

Riesgo de una configuración incorrecta: Los siguientes ejemplos de políticas son solo de referencia general e incluyen una regla de denegar todo. Si los aplica directamente en un entorno de producción, podrían interrumpir el servicio. La política general bloqueará cualquier tráfico que no coincida con una regla de permiso explícita.
Recomendaciones de configuración:
1. El orden es importante: Coloque siempre las reglas de la lista de permitidos antes de la regla general de denegación. Antes de desplegarlas, asegúrese de haber agregado por encima de la regla de denegación todas las reglas de permiso necesarias para el tráfico del negocio.
2. Validación gradual: Al principio, establezca la acción de la política general en Monitor. Analice el tráfico en Log Audit y ajuste poco a poco las políticas para permitir únicamente el tráfico confiable y crítico para el negocio. Una vez que compruebe que todo el tráfico legítimo está permitido, cambie la acción a Deny.
3. Aislamiento de entornos: Puede habilitar la regla general de denegación en un entorno de pruebas. En entornos de producción, si no logra definir una lista de permitidos completa de inmediato, restrinja la dirección de origen de la política general a un rango de IP de prueba para no afectar los servicios productivos.

Configurar las políticas: Vaya a la página Prevention Configuration > Access Control > Policy Configuration > Internet Border y configure las siguientes reglas:

Tráfico entrante (ordenado por prioridad de mayor a menor):

Origen	Destino	Protocolo	Aplicación	Puerto	Acción
Direcciones IP de confianza de Alibaba Cloud	Dirección IP pública del activo en la nube	All	ANY	All	Allow
Direcciones IP de retorno al origen de los servicios en la nube (por ejemplo, WAF, Anti-DDoS)	Dirección IP pública del activo en la nube	All	ANY	All	Allow
Direcciones IP del personal remoto de O&M de confianza o del host bastión	Dirección IP pública del activo en la nube	TCP	RDP, SSH	3389, 22	Allow
Direcciones IP del personal de O&M de confianza	Dirección IP pública del activo en la nube	ICMP	ANY	-	Allow
All	Dirección IP pública del activo en la nube para servicios web	TCP	HTTPS	443	Allow
All	Dirección IP pública del activo en la nube para servicios de API	TCP	HTTP	Puerto respectivo de la API	Allow
All	All	All	All	All	Deny

Tráfico saliente (ordenado por prioridad de mayor a menor):

Origen	Destino	Protocolo	Aplicación	Puerto	Acción
All	Direcciones IP de confianza de Alibaba Cloud, dominios de confianza de Alibaba Cloud	All	ANY	All	Allow
All	Repositorios de software, servicios de certificados	All	ANY	All	Allow
All	Dominios de confianza (por ejemplo, Microsoft, Google y Windows)	TCP	HTTPS, HTTP	All	Allow
All	All	UDP	ANY	53, 123	Allow
All	All	ICMP	ANY	-	Allow
All	All	All	All	All	Deny

Ajustar el modo del motor de ACL: El modo predeterminado permite el tráfico de aplicaciones o dominios no reconocidos para evitar falsos positivos durante la configuración inicial. Cuando confirme que las políticas son correctas, haga clic en ACL Engine Management en la esquina superior derecha y cambie ACL Engine Mode de sus activos a Strict Mode.
Comprobar y probar: Espere entre 3 y 5 minutos después de configurar las políticas. Use comandos como ping o curl para probar la conectividad. Luego, actualice la consola de Cloud Firewall y haga clic en el número de la columna Hits/Last Hit At para consultar los registros correspondientes en la página Log Audit.

Con esto ha completado la guía de inicio rápido. Elija una de las siguientes opciones según sus necesidades:

(Recomendado) Continuar usando Cloud Firewall: Vaya a Advanced optimization para ajustar la configuración y alcanzar un nivel de seguridad y cumplimiento empresarial.
Dejar de usar Cloud Firewall: Vaya a Release resources para detener la facturación.

Optimización avanzada

Usar libretas de direcciones

Cuando las políticas de control de acceso se vuelven complejas, usar una libreta de direcciones simplifica considerablemente la gestión. Puede definir previamente grupos de direcciones IP relacionadas con el negocio, como las IP de salida de la oficina o las de socios de confianza, y luego hacer referencia a esa libreta en sus políticas.

Vaya a la página Prevention Configuration > Address Book.
Haga clic en la pestaña Cloud Service IP Address Book para consultar las libretas de direcciones proporcionadas por Alibaba Cloud.
Haga clic en la pestaña Custom IP Address Book y luego en Create Address Book para definir un conjunto de direcciones IP de uso frecuente. Para obtener más información, consulte Address Book.

Configuración del IPS

El modo predeterminado Block - Medium es adecuado para la mayoría de los escenarios. Sin embargo, podría necesitar ajustar la configuración del IPS en las siguientes situaciones:

Escenarios de protección de alto riesgo (como periodos con ataques frecuentes o etapas críticas de seguridad):
- Agregue las direcciones IP de confianza a Allowlist.
- Cambie Threat Engine Mode a Block - Strict.
- Habilite la función Threat Intelligence.
Tasa alta de falsos positivos:
- Agregue las direcciones IP de confianza a Allowlist.
- Cambie Threat Engine Mode a Block - Loose.
- Si el problema persiste, cambie el modo a Monitor.

Habilitar VPC Firewall

Si utiliza varias redes de Virtual Private Cloud (VPC) o conectó sus activos locales mediante Cloud Enterprise Network, puede habilitar VPC Firewall. Este componente inspecciona y controla el tráfico este-oeste entre VPC conectadas a través de un Transit Router, así como entre VPC y centros de datos locales conectados mediante Express Connect, lo que protege el tráfico de su red interna.

Usar un plan de suscripción

Si planea usar Cloud Firewall durante un periodo prolongado, se recomienda adquirir una subscription. También puede combinar el modelo pay-as-you-go con un savings plan para reducir costos.

Liberar recursos y detener la facturación

Si ya no necesita la instancia de Cloud Firewall creada en esta guía, vaya a la página Overview y, en la esquina superior derecha, elija More > Self-service Release.