Si vos ressources cloud communiquent avec Internet, même uniquement pour un accès sortant, déployez Cloud Firewall au niveau de votre point de sortie Internet. Vous contrôlerez ainsi l'accès réseau et protégerez le trafic.
Risques de sécurité
Une instance ECS connectée à Internet est exposée aux menaces de sécurité entrantes et sortantes :
-
Menaces entrantes : il s'agit d'attaques actives provenant d'Internet. Les attaquants analysent en continu les adresses IP publiques. Lorsqu'ils détectent des ports ouverts, tels que le port 22 pour SSH, le port 3306 pour les bases de données ou le port 3389 pour le bureau à distance, ils peuvent s'introduire dans le système en utilisant les méthodes suivantes :
Exploits : les attaquants lancent des attaques par exécution de code à distance en exploitant des vulnérabilités connues de vos applications ou logiciels système, comme Log4j ou Fastjson, afin de prendre le contrôle direct de l'instance.
Attaques par force brute : les attaquants tentent de deviner les mots de passe des services tels que SSH, RDP et les bases de données. Si un mot de passe faible est utilisé, l'instance peut être facilement compromise.
Attaques web : elles incluent des attaques ciblant les services web, telles que l'injection SQL, le cross-site scripting (XSS) et le téléchargement de webshells.
Attaques DDoS : les attaquants utilisent des paquets malformés ou des inondations de trafic pour épuiser les ressources de votre instance et provoquer des interruptions de service.
-
Menaces sortantes : si votre instance est compromise, elle peut servir de tremplin au sein du réseau d'un attaquant. Cela peut entraîner des connexions sortantes malveillantes aux conséquences graves :
Communication de commande et de contrôle (C&C) : des chevaux de Troie ou des programmes de botnet implantés se connectent à des serveurs C&C externes pour recevoir des instructions et renvoyer des données.
Fuites de données : les attaquants volent des données sensibles depuis votre instance et les transfèrent vers un serveur externe.
Mouvement latéral : en utilisant votre instance compromise comme base, les attaquants peuvent cibler d'autres instances au sein de votre VPC ou lancer des attaques externes, comme l'envoi de spam ou la participation à des attaques DDoS. Cette activité peut entraîner le blocage mondial de votre adresse IP et nuire à la réputation de votre entreprise.
Cloud Firewall utilise des technologies telles que l'inspection approfondie des paquets (DPI), les règles du système de prévention des intrusions (IPS), le renseignement sur les menaces, le correctif virtuel et les politiques de contrôle d'accès pour filtrer le trafic entrant et sortant. Il détermine si le trafic doit être autorisé, bloquant ainsi efficacement les accès non autorisés et sécurisant le trafic entre vos actifs publics et Internet.
Inspection approfondie des paquets (DPI) : Cloud Firewall inspecte le contenu du trafic réseau, et pas seulement les adresses IP et les ports.
Système de prévention des intrusions (IPS) : basé sur la DPI, l'IPS utilise une bibliothèque de milliers de règles de signature d'attaque pour identifier et bloquer avec précision le trafic malveillant, y compris les exploits, les attaques par force brute, les chevaux de Troie de minage et les webshells, même si le trafic utilise des ports que vous avez intentionnellement ouverts.
Intégration du renseignement sur les menaces : Cloud Firewall s'intègre en temps réel à la base de données globale d'Alibaba Cloud contenant les adresses IP et domaines malveillants. Il bloque automatiquement les tentatives de connexion provenant d'IP malveillantes connues et de serveurs de commande et de contrôle (C&C) de botnets.
Correctif virtuel : avant la publication d'un correctif logiciel ou système officiel, Cloud Firewall peut mettre à jour ses règles IPS pour fournir un « correctif virtuel » temporaire. Cela permet de bloquer les exploits liés aux vulnérabilités zero-day avant que les attaquants ne puissent les exploiter.
Bonnes pratiques
Activer le pare-feu Internet et protéger les actifs publics
-
Activez la protection de vos actifs.
Connectez-vous à la console Cloud Firewall.
Dans le volet de navigation de gauche, cliquez sur Firewall.
-
Dans l'onglet Internet Firewall, cliquez sur l'onglet IPv4 ou IPv6 pour activer manuellement la protection d'un actif public.
Si l'actif que vous souhaitez protéger n'apparaît pas dans la liste des actifs publics, cliquez sur Synchronize Assets en haut à droite. Cette action synchronise les actifs de votre compte Alibaba Cloud actuel et de ses comptes membres. Le processus de synchronisation prend environ 1 à 2 minutes.
-
Activer la protection d'un seul actif
Dans la liste des actifs publics, recherchez l'actif que vous souhaitez protéger et cliquez sur Enable Protection dans la colonne Actions.
-
Activer la protection de plusieurs actifs
Dans la liste des actifs publics, sélectionnez les actifs à protéger, puis cliquez sur Enable Protection sous la liste.
Vous pouvez également cliquer sur Enable Protection dans la zone de statistiques pour activer la protection du pare-feu Internet pour tous les actifs publics en une seule fois, regroupés par dimensions telles que l'IP publique, la région et le type d'actif.
-
Utiliser le pare-feu pour le contrôle d'accès
Refuser l'accès depuis les régions étrangères : les statistiques montrent que de nombreuses attaques proviennent d'adresses IP étrangères. Restreindre l'accès depuis ces emplacements permet de réduire votre surface d'attaque. Pour plus d'informations, consultez la rubrique Configurer une politique pour refuser l'accès à l'hôte depuis les régions étrangères.
Restreindre les domaines auxquels une instance ECS peut accéder : l'accès sortant à Internet depuis les hôtes internes doit généralement être restreint. Par exemple, si une instance a uniquement besoin de télécharger des images ou des packages d'installation depuis des sites externes, vous ne devez autoriser que les protocoles web pour l'accès à Internet. Pour plus d'informations, consultez les rubriques Configurer une politique pour autoriser une instance publique à accéder à un domaine spécifique et Configurer une politique pour autoriser une instance privée à accéder à un domaine spécifique.
Pour plus de bonnes pratiques, consultez les Bonnes pratiques de contrôle d'accèsBonnes pratiques de contrôle d'accès.
Se défendre contre les attaques courantes
Se défendre contre les attaques de bases de données : les principales menaces pour les bases de données incluent les attaques par force brute, les vulnérabilités des applications, les opérations malveillantes de lecture/écriture de fichiers, l'exécution de commandes, le vol d'informations et le vidage de données. Cloud Firewall fournit des capacités d'analyse approfondie du trafic, de détection des menaces et de blocage pour les principaux logiciels de base de données. Pour plus d'informations, consultez la rubrique Bonnes pratiques pour la défense des bases de données.
Se défendre contre les vers : les vers se propagent activement sur les réseaux en exploitant les vulnérabilités des services. Ils peuvent provoquer des interruptions de service, des vols d'informations, des blocages réglementaires et des attaques par rançongiciel. Cloud Firewall offre une défense en couches contre toute la chaîne d'attaque des vers en détectant et en bloquant divers vers et leurs variantes. Il met continuellement à jour ces capacités en fonction de l'évolution du paysage de la sécurité pour stopper la propagation des vers. Pour plus d'informations, consultez la rubrique Bonnes pratiques pour se défendre contre les vers.
Se défendre contre les menaces à la sécurité du système : les risques de sécurité du système incluent des configurations incorrectes (telles que des ports inutilement ouverts, des mots de passe faibles et des politiques de sécurité faibles) et des vulnérabilités système (telles que les vulnérabilités d'exécution de code à distance, de déni de service et de divulgation d'informations). Le module IPS de Cloud Firewall surveille les tendances d'attaque à l'échelle du réseau, bloque de manière proactive les tentatives d'analyse et d'intrusion, intercepte les exploits à haut risque et empêche les reverse shells et les fuites de fichiers système. Pour plus d'informations, consultez la rubrique Bonnes pratiques pour la défense de la sécurité du système.
Se défendre contre les programmes de minage : le module IPS de Cloud Firewall utilise le renseignement sur les menaces et le correctif virtuel pour suivre et se défendre contre les exploits réseau utilisés par les vers de minage, bloquant ainsi leur propagation. De plus, la fonctionnalité de sensibilisation aux violations de Cloud Firewall peut détecter les vers de minage, identifier les instances infectées et permettre une correction rapide. Pour plus d'informations, consultez la rubrique Bonnes pratiques pour se défendre contre les programmes de minage.