Elastic Compute Service:Restrict source IP addresses for instance O&M ports

Vérification : identifier les groupes de sécurité dont les ports d’administration sont accessibles sans restriction

Blocage : empêcher la création d’instances dont les ports d’administration sont accessibles sans restriction

Utilisez une politique RAM pour bloquer les règles de groupe de sécurité qui autorisent l’accès depuis n’importe quelle adresse IP (0.0.0.0/0).

• Pour les utilisateurs professionnels :

  1. Connectez-vous à la console Resource Directory avec un compte Alibaba Cloud. Dans le menu de gauche, cliquez sur Control Policies. Créez une politique personnalisée et collez le contenu JSON suivant.

     Cette politique refuse les opérations qui créent des instances ou modifient des groupes de sécurité pour autoriser l’accès depuis n’importe quelle adresse IP.

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Deny",
           "Action": [
             "ecs:AuthorizeSecurityGroup",
             "ecs:ConfigureSecurityGroupPermissions",
             "ecs:ModifySecurityGroupRule"
           ],
           "Resource": "*",
           "Condition": {
             "StringLike": {
               "ecs:SecurityGroupIpProtocols": [
                 "TCP"
               ]
             },
             "CIDRInRange": {
               "ecs:SecurityGroupSourceCidrIps": [
                 "0.0.0.0/0"
               ]
             }
           }
         },
         {
           "Effect": "Deny",
           "Action": [
             "ecs:CreateInstance",
             "ecs:RunInstances"
           ],
           "Resource": "*",
           "Condition": {
             "Bool": {
               "ecs:NotSpecifySecureGroupId": [
                 "true"
               ]
             }
           }
         }
       ]
     }

  2. Sélectionnez un nœud approprié dans votre annuaire de ressources et joignez-y la politique. La politique bloque ces opérations pour tous les comptes rattachés à ce nœud.

• Pour les utilisateurs non professionnels :

  1. Connectez-vous à la console RAM avec votre compte Alibaba Cloud. Dans le volet de navigation de gauche, cliquez sur Permission Policy. Créez une politique personnalisée avec le même contenu JSON.

  2. Accordez la politique à un utilisateur RAM, un groupe d’utilisateurs RAM ou un rôle RAM.

Correction : restreindre les règles des groupes de sécurité

Remplacez l’objet d’autorisation 0.0.0.0/0 par une plage d’adresses IP de confiance.

1. Identifiez les règles non sécurisées : utilisez les méthodes décrites dans la section Vérification pour trouver les groupes de sécurité dont les ports d’administration sont accessibles sans restriction.

2. Modifiez les règles :

   1. Accédez à la page Console ECS - Groupes de sécurité. Recherchez le groupe de sécurité cible et cliquez sur Manage Rules dans la colonne Operation.

   2. Recherchez la règle (par exemple, le port 22 avec 0.0.0.0/0 comme objet d’autorisation). Cliquez sur Modify, mettez à jour l’objet d’autorisation avec une adresse IP source de confiance, puis cliquez sur OK.