Proteja los datos en las instancias de ECS mediante la verificación de integridad, el cifrado para garantizar la confidencialidad y las copias de seguridad para asegurar la disponibilidad.
Integridad de los datos
La integridad de los datos evita modificaciones accidentales o malintencionadas durante su transmisión y almacenamiento.
ECS utiliza almacenamiento triplicado para garantizar la fiabilidad, borrado seguro de datos para una eliminación completa y comprobación de redundancia cíclica (CRC) para la protección de datos de extremo a extremo.
-
Almacenamiento triplicado
Descripción de la función: Los datos del disco en la nube se replican en tres copias de fragmentos almacenadas en distintos nodos de datos dentro de un clúster de almacenamiento. Esto garantiza la fiabilidad y estabilidad de los datos durante las operaciones de lectura y escritura. Consulte ESSD cloud disk data reliability.
Método de configuración: Los discos en la nube son compatibles con esta función de forma predeterminada.
-
Mecanismo de borrado de datos
-
Descripción de la función: Los datos eliminados en el sistema de block storage distribuido se borran por completo y no se pueden acceder a ellos ni restaurarlos.
Los discos en la nube utilizan escrituras por anexión secuencial en la capa subyacente. Este diseño aprovecha el alto ancho de banda y la baja latencia de las escrituras secuenciales en discos físicos. Debido a la función de escritura por anexión, una operación para eliminar un espacio lógico en un disco en la nube se registra únicamente como metadatos. Si intenta leer desde este espacio lógico, el sistema de almacenamiento devuelve todos ceros. De igual manera, sobrescribir un espacio lógico no sobrescribe inmediatamente el espacio correspondiente en el disco físico. En su lugar, el sistema de almacenamiento modifica la asignación entre los espacios lógico y físico para realizar la sobrescritura. Esto garantiza que los datos originales no se puedan leer. Los datos residuales en el disco físico provenientes de operaciones de eliminación o sobrescritura se eliminan permanentemente más adelante.
Cuando libera un dispositivo de bloque, como un disco en la nube, el sistema de almacenamiento destruye inmediatamente sus metadatos para que los datos sean inaccesibles. El espacio de almacenamiento físico que ocupaba el disco en la nube también se recupera. Este espacio físico se limpia antes de reasignarse. Todos los discos en la nube recién creados devuelven ceros en todas las operaciones de lectura antes de la primera escritura.
Método de configuración: Los discos en la nube son compatibles con esta función de forma predeterminada.
-
-
CRC
-
Descripción de la función: Los discos en la nube admiten CRC para la verificación de datos de extremo a extremo durante la transmisión y el almacenamiento:
Se realiza CRC de enlace completo en todas las operaciones de lectura y escritura.
El sistema de block storage realiza periódicamente comprobaciones de CRC y redundancia en medios persistentes.
Método de configuración: Los discos en la nube son compatibles con esta función de forma predeterminada.
-
Confidencialidad de los datos
El cifrado evita el acceso y la divulgación no autorizados. Incluso si los datos se interceptan durante la transmisión o se accede a ellos ilegalmente en el almacenamiento, el contenido no se puede descifrar.
ECS garantiza la confidencialidad de los datos en el almacenamiento, la transmisión de red y los entornos de cómputo.
Cifrado de almacenamiento
-
Cifrado de disco
Descripción de la función: Habilite encryption cuando cree un disco del sistema o un disco de datos. Los datos se cifran automáticamente al escribirse y se descifran al leerse, de forma transparente para el sistema operativo. No se requiere infraestructura de gestión de claves. El cifrado de disco protege la privacidad de los datos y proporciona un límite seguro para los datos empresariales.
Método de configuración: Consulte Overview of cloud disk encryption.
ImportantePara empresas con requisitos estrictos de cumplimiento de seguridad, ECS permite configurar directivas personalizadas para que los usuarios de RAM solo puedan crear discos cifrados. Consulte la sección Restrict creating unencrypted cloud disks del tema "Directivas personalizadas para ECS".
-
Cifrado de instantáneas
Las instantáneas de discos en la nube cifrados (discos del sistema y discos de datos) heredan el atributo de cifrado del disco. Los datos de la instantánea permanecen cifrados durante el almacenamiento, la transmisión, la copia entre regiones y la restauración del disco.
-
Cifrado de imágenes
El cifrado de imágenes protege los datos almacenados en ellas contra accesos no autorizados. Aunque un usuario no autorizado acceda a los datos de la imagen, no podrá leerlos ni descifrarlos. Cree una imagen cifrada a partir de una instancia con un disco del sistema cifrado, desde una instantánea cifrada o copiando una imagen no cifrada a una imagen cifrada.
Cifrado de transmisión de red
ECS admite varios métodos para cifrar datos en tránsito: acceso a metadatos en modo de refuerzo de seguridad, VPN Gateway para conectividad segura y HTTPS para el acceso a recursos de ECS.
-
Acceso a metadatos de instancia en modo de refuerzo de seguridad
Descripción de la función: En modo normal, Metadata Service devuelve los metadatos de la instancia sin autenticación. Si los metadatos contienen información confidencial, podrían ser interceptados o filtrados. Una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) puede permitir a los atacantes obtener tokens de Security Token Service (STS) desde Metadata Service, lo que genera riesgos similares a las fugas de AccessKey. El modo de refuerzo de seguridad mitiga los ataques SSRF al exigir autenticación basada en tokens para el acceso a metadatos.
Método de configuración: Seleccione security hardening mode para acceder a Metadata Service. Consulte Instance metadata.
-
Acceso seguro con VPN Gateway
-
Descripción de la función: VPN Gateway (VPN) establece túneles cifrados entre redes locales, redes corporativas o clientes de Internet y entornos de Virtual Private Cloud (VPC) de Alibaba Cloud. Admite dos métodos de conexión: IPsec-VPN y SSL-VPN. Los datos se cifran con protocolos de intercambio de claves de Internet (IKE) e IPsec.
IPsec-VPN: Cada paquete de datos se cifra con IPsec antes de la transmisión. IPsec proporciona cifrado y autenticación de datos para garantizar su integridad.
SSL-VPN: Se instala un certificado de cliente SSL en el cliente para establecer una conexión cifrada con la puerta de enlace VPN. SSL cifra el tráfico para la protección de datos, la autenticación de identidad y la integridad de los datos.
Consulte What is VPN Gateway?
Método de configuración: Esta función es compatible de forma predeterminada.
-
-
Acceso a recursos de ECS con HTTPS
Descripción de la función: HTTPS cifra los datos en tránsito con Transport Layer Security (TLS) y SSL, lo que evita el monitoreo, la interceptación y la manipulación por parte de terceros. ECS admite cifrado HTTPS de 256 bits. Se utiliza TLS 1.2 cuando usted connect to an instance by using Session Manager, connect to an instance by using a password or key o use Cloud Assistant to access instances.
Método de configuración: Esta función es compatible de forma predeterminada.
ImportanteAlibaba Cloud proporciona la clave de condición
acs:SecureTransport. Configure una directiva personalizada que haga referencia a esta clave de condición y asígnela a usuarios de RAM para restringir el acceso a recursos de ECS exclusivamente a HTTPS. Consulte Custom policies.
Entorno de cómputo en tiempo de ejecución
Descripción de la función: Las instancias de ECS optimizadas para cómputo y seguridad utilizan técnicas como cifrado por hardware, aislamiento y capacidades de auditoría para proporcionar entornos de cómputo seguros y aislados. Estos tipos de instancia admiten cifrado de memoria del host, cómputo de confianza y cómputo confidencial. Consulte Security capabilities overview.
Métodos de configuración: Consulte Trusted computing, Confidential computing y Best practices.
Disponibilidad de los datos
Descripción de la función: La disponibilidad de los datos mantiene su integridad, consistencia y precisión a lo largo de todo su ciclo de vida. ECS admite copias de seguridad basadas en instantáneas, copias de seguridad basadas en imágenes, restauración de particiones de discos de datos y despliegue multizona para recuperación ante desastres.
Métodos de configuración: Consulte ECS disaster recovery solutions.