ApsaraDB RDS ofrece varias capas de protección de datos integradas. Alibaba Cloud protege la infraestructura subyacente, mientras que usted es responsable de configurar el control de acceso para sus instancias.
Cómo funciona
La seguridad de RDS funciona en tres capas, desde el perímetro de red hacia el interior:
|
Capa |
Mecanismo |
Qué hace |
|
Perímetro de red |
Detección y mitigación de ataques DDoS |
Bloquea el tráfico malicioso antes de que llegue a sus instancias |
|
Control de acceso |
Listas blancas de direcciones IP y aislamiento de cuentas |
Restringe quién puede conectarse y a qué recursos pueden acceder |
|
Aislamiento del sistema |
Firewalls, acceso restringido al host y conexiones solo entrantes |
Limita la superficie de ataque de cada instancia |
Prevención de ataques DDoS
Las instancias de RDS expuestas a Internet son vulnerables a ataques de denegación de servicio distribuido (DDoS). Cuando se detecta un ataque, el sistema de seguridad responde en dos etapas:
Depuración de tráfico: filtra el tráfico entrante malicioso y permite el paso de las solicitudes legítimas.
Filtrado blackhole: si la depuración de tráfico no es eficaz o el volumen del ataque supera el umbral de filtrado blackhole, se activa este mecanismo para proteger la disponibilidad de la instancia.
Le recomendamos que acceda a las instancias de RDS a través de la red interna para prevenir ataques DDoS. Para más detalles, consulte Protection against attacks.
Control de acceso
RDS admite dos mecanismos para controlar quién puede acceder a sus bases de datos:
|
Mecanismo |
Descripción |
|
Lista blanca de direcciones IP |
Solo las solicitudes provenientes de direcciones IP incluidas en la lista blanca pueden conectarse a la instancia de RDS |
|
Aislamiento de cuentas |
Los recursos entre cuentas de Alibaba Cloud están aislados lógicamente; cada cuenta solo puede consultar y gestionar sus propias bases de datos |
Para más detalles, consulte Access control.
Seguridad del sistema
Cada instancia de RDS cuenta con los siguientes controles de sistema:
|
Control |
Descripción |
|
Firewalls multicapa |
Bloquean una amplia variedad de ataques basados en red antes de que lleguen a la instancia |
|
Sin acceso directo al host |
Los hosts físicos que ejecutan instancias de RDS no son accesibles directamente; las instancias solo son alcanzables a través de sus endpoints y puertos asignados |
|
Conexiones solo entrantes |
Las instancias de RDS no pueden iniciar conexiones salientes; solo aceptan solicitudes de acceso entrantes |
Para más detalles, consulte Network isolation.
Equipo de seguridad profesional
Los expertos en seguridad de Alibaba Cloud brindan soporte técnico para garantizar la seguridad de las instancias de ApsaraDB RDS.