Un groupe de sécurité agit comme un pare-feu virtuel qui contrôle le trafic entrant et sortant des instances ECS. Des règles de groupe de sécurité mal configurées peuvent créer de graves vulnérabilités de sécurité. Utilisez la fonctionnalité Security Group Check de Cloud Firewall pour identifier et corriger rapidement les règles à risque dans les groupes de sécurité ECS. Vous gérez ainsi vos groupes de sécurité de manière plus sécurisée et efficace. La fonctionnalité Security Group Check prend en charge les groupes de sécurité basiques et avancés.
Éléments de vérification des groupes de sécurité
Ce tableau décrit les éléments de vérification de la fonctionnalité Security Group Check de Cloud Firewall. Activez ou désactivez ces vérifications selon vos besoins métier. Il est impossible de modifier ces vérifications.
|
Élément de vérification |
Risque de sécurité |
Recommandations |
|
Exposition du port de gestion à distance sur les instances Linux |
Le port 22 autorise l'accès depuis n'importe quelle adresse IP, exposant les serveurs Linux associés aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public au port 22. Si votre activité nécessite l'accès à ce port, restreignez-le aux adresses IP source de confiance ou utilisez Bastionhost pour une gestion à distance sécurisée. Pour plus d'informations, consultez la rubrique Présentation de Bastionhost. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur les instances Windows |
Le port 3389 autorise l'accès depuis n'importe quelle adresse IP, exposant les serveurs Windows associés aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public au port 3389. Si votre activité nécessite l'accès à ce port, restreignez-le aux adresses IP source de confiance ou utilisez Bastionhost pour une gestion à distance sécurisée. Pour plus d'informations, consultez la rubrique Présentation de Bastionhost. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur les bases de données DB2 |
Le port 50000 autorise l'accès depuis n'importe quelle adresse IP, exposant les bases de données DB2 associées aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public au port 50000. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Une instance ECS est associée à trop de groupes de sécurité |
Une instance ECS est associée à trois groupes de sécurité ou plus, ce qui augmente la complexité de gestion et le risque de mauvaise configuration. |
En bonne pratique, associez une instance ECS à deux groupes de sécurité maximum. Pour plus d'informations, consultez la rubrique Présentation des groupes de sécurité. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur Elasticsearch |
Les ports 9200 et 9300 autorisent l'accès depuis n'importe quelle adresse IP, exposant les clusters Elasticsearch associés aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public aux ports 9200 et 9300. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur Hadoop YARN |
Le port 8088 autorise l'accès depuis n'importe quelle adresse IP, exposant les clusters Hadoop YARN associés aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public au port 8088. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur Hadoop |
Les ports 50070 et 50030 autorisent l'accès depuis n'importe quelle adresse IP, exposant les clusters Hadoop associés aux attaques par force brute. |
Dans la page Security groups de la console ECS, configurez des règles pour refuser l'accès public aux ports 50070 et 50030. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur MongoDB |
Le port 27017 autorise l'accès depuis n'importe quelle adresse IP, exposant les bases de données MongoDB associées aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public au port 27017. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur MySQL |
Le port 3306 autorise l'accès depuis n'importe quelle adresse IP, exposant les bases de données MySQL associées aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public au port 3306. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur Oracle |
Le port 1521 autorise l'accès depuis n'importe quelle adresse IP, exposant les bases de données Oracle associées aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public au port 1521. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur PostgreSQL |
Le port 5432 autorise l'accès depuis n'importe quelle adresse IP, exposant les bases de données PostgreSQL associées aux attaques par force brute. |
Dans la page Security groups de la console ECS, configurez des règles pour refuser l'accès public au port 5432. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur Redis |
Le port 6379 autorise l'accès depuis n'importe quelle adresse IP, exposant les bases de données Redis associées aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public au port 6379. Par ailleurs, dans la page Protection Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur SQL Server |
Le port 1433 autorise l'accès depuis n'importe quelle adresse IP, exposant les bases de données SQL Server associées aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public au port 1433. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur Spark |
Le port 6066 autorise l'accès depuis n'importe quelle adresse IP, exposant les clusters Spark associés aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public au port 6066. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Exposition du port de gestion à distance sur Splunk |
Les ports 8089 et 8090 autorisent l'accès depuis n'importe quelle adresse IP, exposant les instances Splunk associées aux attaques par force brute. |
Dans la page Security Group de la console ECS, configurez des règles pour refuser l'accès public aux ports 8089 et 8090. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
|
Accès entrant non restreint |
Un groupe de sécurité autorise le trafic entrant depuis n'importe quelle adresse IP sur n'importe quel port, ce qui pose un risque d'intrusion grave. |
Restreignez l'accès aux seuls ports requis par votre activité et limitez la plage des adresses IP source autorisées. Par ailleurs, dans la page Prevention Configuration de la console Cloud Firewall, activez les fonctionnalités de renseignement sur les menaces et de protection de base. |
Vérifier les risques liés aux groupes de sécurité
Connectez-vous à la console Cloud Firewall.
Dans le volet de navigation de gauche, choisissez .
-
Dans la page Security Group Optimizer , cliquez sur Obtain Latest Check Results.
La vérification prend entre 1 et 5 minutes.
RemarqueLa fonctionnalité Security Group Check effectue une analyse statique de vos règles de groupe de sécurité. Les résultats peuvent ne pas couvrir tous les risques potentiels liés aux ports. Accédez à la page Internet Exposure pour afficher tous les résultats de vérification de vos ports et comprendre leur statut d'exposition réel.
Une fois la vérification terminée, la page affiche deux métriques : Number of risk items et Number of at-risk servers.
Afficher les résultats de la vérification
Dans la zone Check Result Details , consultez les détails des risques détectés dans les groupes de sécurité. Les détails incluent Risk Level , Check Item , At-risk Security Groups/Servers et Check Item Status . Un niveau de risque élevé indique qu'un groupe de sécurité autorise le trafic entrant depuis n'importe quelle adresse IP sur n'importe quel port, ce qui constitue une menace d'intrusion grave.
Pour activer ou désactiver un élément de vérification, utilisez le commutateur Check Item Status . La désactivation d'un élément de vérification l'exclut de l'analyse.
Les éléments de vérification à haut risque typiques incluent Remote management port exposure on Linux instances, Remote management port exposure on Windows instances et Unrestricted Inbound Access.
Corriger les éléments de vérification à haut risque
-
Recherchez l'élément de vérification à corriger et cliquez sur Fixing Details dans la colonne Actions.
Vous pouvez également cliquer sur le nombre dans la colonne At-risk Security Groups/Servers . Un nombre supérieur à 0 indique une vulnérabilité à haut risque nécessitant une attention immédiate. Cette action vous redirige également vers la page Fixing Details .
-
Dans la page Fixing Details , recherchez le groupe de sécurité à corriger et cliquez sur Fix in Security Group dans la colonne Actions.
Vous pouvez également cliquer sur un ID de groupe de sécurité dans la colonne At-risk Security Group ID/Name pour ouvrir la page Security Group de la console ECS , où vous pourrez corriger les règles de groupe de sécurité à risque.
AvertissementDes règles de groupe de sécurité mal configurées peuvent entraîner de graves incidents de sécurité. La page Fixing Details fournit des Fixing Suggestions pour les groupes de sécurité à risque. Nous vous recommandons de modifier les règles de groupe de sécurité à risque en suivant ces Fixing Suggestions dès que possible.