Cloud Firewall:Quick start: Unified protection for cloud assets using Cloud Firewall

Étape 1 : Activer Cloud Firewall en paiement à l'utilisation

1. Accédez à la , définissez le paramètre Product Type sur Pay-as-you-go 2.0 et configurez les paramètres suivants.

   Parameter	Description
   Auto Protection for Internet Assets	Sélectionnez Yes pour ajouter automatiquement toutes les ressources publiques au pare-feu et activer la protection pour toute nouvelle ressource. Vous pourrez modifier ce paramètre ultérieurement dans la console.
   Log Analysis et Log Analysis and Storage Capacity	Nous vous recommandons de conserver les paramètres par défaut pour stocker les journaux d'accès. Cette fonctionnalité permet la collecte, la consultation, l'analyse et le traitement en temps réel des journaux de trafic pour vos ressources protégées, afin de répondre aux exigences de conformité.
   Service-linked Role	Pour fournir des fonctionnalités telles que le contrôle d'accès au trafic et la surveillance, Cloud Firewall doit accéder à vos ressources cloud. Cliquez sur Create Service-linked Role. Le système crée automatiquement le rôle lié au service AliyunServiceRoleForCloudFW. Ne modifiez pas ce rôle.

2. Lisez et acceptez le contrat de service Cloud Firewall (paiement à l'utilisation), puis cliquez sur Buy Now et effectuez le paiement.

Étape 2 : Consulter les ressources publiques et leur statut de protection

1. Connectez-vous à la console Cloud Firewall. Dans le volet de navigation de gauche, cliquez sur Firewall.

2. Dans l'onglet Internet Firewall, vous pouvez consulter les ressources publiques de votre compte Alibaba Cloud ainsi que leur statut de protection. Comme vous avez activé l'option Auto Protection for Internet Assets lors de l'achat, la colonne Firewall Status de toutes les ressources publiques est définie sur Protected par défaut.

Étape 3 : Examiner le système de prévention des intrusions (IPS)

Le système de prévention des intrusions (IPS) intégré à Cloud Firewall détecte et bloque en temps réel un large éventail de menaces connues, notamment les attaques réseau, les exploitations de vulnérabilités, les tentatives de force brute, la propagation de vers, les activités de minage de cryptomonnaies, les communications via des portes dérobées et les attaques par déni de service (DoS).

Suivez ces étapes pour afficher les règles IPS.

1. Dans le volet de navigation de gauche, accédez à Prevention Configuration > IPS Configuration.

2. Par défaut, le système active les fonctionnalités Basic Protection et Virtual Patching et définit le paramètre Threat Engine Mode sur Block - Medium, ce qui convient à la plupart des cas d'utilisation.

Étape 4 : Configurer les politiques de liste de contrôle d'accès (ACL)

Cloud Firewall vous permet de configurer des politiques de contrôle d'accès indépendantes pour différentes ressources, offrant ainsi un contrôle granulaire sur leur trafic entrant et sortant.

Par défaut, Cloud Firewall inclut plusieurs politiques dont l'action Action est définie sur Allow. Vous pouvez les consulter en accédant à Prevention Configuration > Access Control > Policy Configuration > Internet Border dans le volet de navigation de gauche.

La plupart des cyberattaques provenant des réseaux publics, vous devez configurer des politiques de sécurité adaptées à vos besoins métier. Nous vous recommandons d'adopter une approche par liste d'autorisation : créez une politique globale de rejet (deny all) avec la priorité la plus basse, puis ajoutez des politiques d'autorisation spécifiques avec une priorité plus élevée.

1. Configurer les politiques : Accédez à la page Prevention Configuration > Access Control > Policy Configuration > Internet Border et configurez les règles suivantes :

   Entrant (trié par priorité décroissante) :

   Source	Destination	Protocol	Application	Port	Action
   Alibaba Cloud trusted IPs	Public IP of cloud asset	All	ANY	All	Allow
   Back-to-origin IP addresses of cloud services (for example, WAF, Anti-DDoS)	Public IP of cloud asset	All	ANY	All	Allow
   IP addresses of trusted remote O&M staff or bastion host	Public IP of cloud asset	TCP	RDP, SSH	3389, 22	Allow
   IP addresses of trusted O&M staff	Public IP of cloud asset	ICMP	ANY	-	Allow
   All	Public IP of cloud asset for web services	TCP	HTTPS	443	Allow
   All	Public IP of cloud asset for API services	TCP	HTTP	Respective API port	Allow
   All	All	All	All	All	Deny

   Sortant (trié par priorité décroissante) :

   Source	Destination	Protocol	Application	Port	Action
   All	Alibaba Cloud trusted IPs, Alibaba Cloud trusted domains	All	ANY	All	Allow
   All	Software repositories, certificate services	All	ANY	All	Allow
   All	Trusted domains (for example, Microsoft, Google, and Windows)	TCP	HTTPS, HTTP	All	Allow
   All	All	UDP	ANY	53, 123	Allow
   All	All	ICMP	ANY	-	Allow
   All	All	All	All	All	Deny

2. Ajuster le mode du moteur ACL : Le mode par défaut autorise le trafic provenant d'applications ou de domaines non reconnus afin d'éviter les faux positifs lors de la configuration initiale. Une fois que vous avez confirmé l'exactitude de vos politiques, cliquez sur ACL Engine Management en haut à droite et changez le paramètre ACL Engine Mode pour vos ressources en Strict Mode.

3. Vérifier et tester : Attendez 3 à 5 minutes après avoir configuré les politiques. Utilisez des commandes telles que ping ou curl pour tester la connectivité. Ensuite, actualisez la console Cloud Firewall et cliquez sur le nombre dans la colonne Hits/Last Hit At pour afficher les journaux correspondants sur la page Log Audit.