Comment réduire le risque de pertes financières dues au trafic malveillant - Object Storage Service

Les attaques malveillantes ou le trafic frauduleux ciblant vos compartiments peuvent provoquer des pics soudains de bande passante et de transfert de données, entraînant des factures inattendument élevées. Suivez ces bonnes pratiques de sécurité pour réduire le risque d'incidents coûteux.

Important

Ces bonnes pratiques constituent des recommandations générales et ne représentent pas une solution de sécurité exhaustive. Elles peuvent ne pas convenir à votre environnement ou à vos exigences spécifiques. Intégrez-les dans une stratégie de sécurité plus large et restez vigilant quant à la protection de vos données et de votre contenu.

Risques de pertes financières importantes

Les attaques malveillantes ou le trafic frauduleux sur votre compartiment peuvent entraîner les risques financiers suivants :

Factures élevées : les attaques malveillantes consomment la bande passante de votre Object Storage Service (OSS) et vous êtes responsable des frais engendrés.
Factures dépassant le solde de votre compte : OSS est un service de paiement à l'utilisation et les montants des factures dépendent de facteurs tels que les cycles de facturation et les délais de traitement. Par conséquent, le service ne peut pas être suspendu immédiatement lorsque le solde de votre compte atteint zéro. Cela peut entraîner un retard de paiement . Si votre compartiment est la cible d'une attaque malveillante ou subit un vol de trafic, vous pouvez encourir des frais élevés. Le risque associé est que le montant facturé dépasse souvent le solde de votre compte.

Bloquer l'accès public

OSS permet l'accès public via les politiques de compartiment et les listes de contrôle d'accès (ACL), ce qui signifie que n'importe qui peut accéder à vos ressources sans authentification. Cela crée des risques de violation de données et des coûts de trafic élevés dus à des activités malveillantes. Pour atténuer ces risques, OSS propose une fonctionnalité Block Public Access en un clic aux niveaux global, du compartiment, du point d'accès ou du point d'accès Function Compute. Une fois activée, la fonction Block Public Access remplace les autorisations publiques existantes et empêche la création de nouvelles autorisations, protégeant ainsi vos données contre toute exposition publique. Pour plus d'informations, consultez la rubrique Block Public Access.

Accéder aux ressources OSS via PrivateLink

PrivateLink établit une connexion privée et sécurisée entre votre VPC et OSS, évitant ainsi les risques de sécurité liés à l'accès par Internet public. Une connexion privée renforce la sécurité des données et réduit le risque de coûts excessifs dus au trafic malveillant. Les avantages incluent :

Isolation : PrivateLink garantit que vos ressources OSS sont accessibles uniquement depuis votre VPC autorisé, empêchant ainsi les attaques provenant d'Internet.
Contrôle des autorisations : un endpoint VPC vous permet d'appliquer des contrôles d'accès granulaires, tels que la restriction de l'accès à des adresses IP ou des sous-réseaux spécifiques, ou l'application de règles de groupe de sécurité spécifiques.
Surveillance du trafic : les services déployés au sein de votre VPC permettent une meilleure surveillance et gestion du trafic réseau, vous permettant de détecter rapidement les anomalies et de prévenir les accès malveillants.

Pour plus d'informations, consultez la rubrique Accéder à OSS via PrivateLink.

Définir les autorisations ACL sur privé

Ne définissez pas la liste de contrôle d'accès (ACL) d'un compartiment ou d'un objet sur public-read ou public-read-write, sauf si tout le monde doit pouvoir lire ou écrire dans vos ressources OSS. Les autorisations suivantes s'appliquent si vous accordez un accès public :

public-read-write : n'importe qui peut lire et écrire des objets dans le compartiment.

Avertissement
Cela permet à tout utilisateur sur Internet d'accéder à vos objets et de télécharger de nouveaux objets dans votre compartiment. Cela peut entraîner une exfiltration de données, des pics de coûts inattendus et des problèmes juridiques potentiels si du contenu malveillant ou illégal est téléchargé. Sauf nécessité absolue pour un cas d'utilisation spécifique, nous vous déconseillons fortement d'accorder des autorisations public-read-write.
public-read : seul le propriétaire du compartiment peut écrire des objets dans le compartiment, mais n'importe qui peut lire les objets.

Avertissement
Cela permet à tout utilisateur sur Internet d'accéder à vos objets, ce qui peut entraîner une exfiltration de données et des pics de coûts inattendus. Utilisez cette autorisation avec prudence.

Pour éviter ces risques de sécurité, nous vous recommandons vivement de définir l'ACL de vos compartiments et objets sur private. Avant de modifier une ACL en private, vérifiez que cette modification n'affecte pas vos applications ou services.

Pour obtenir les étapes détaillées, consultez les rubriques Définir l'ACL du compartiment et Définir l'ACL de l'objet.

Configurer des règles d'alerte CloudMonitor

Créez des règles d'alerte dans CloudMonitor pour surveiller l'utilisation et l'état de vos ressources OSS. Lorsqu'une métrique atteint un seuil prédéfini, CloudMonitor envoie une alerte afin que vous puissiez identifier et résoudre rapidement les anomalies.

Par exemple, vous pouvez configurer une règle d'alerte pour un compartiment qui se déclenche lorsqu'une métrique telle que le trafic entrant ou sortant public atteint 100 Mo ou plus en une minute. Les informations d'alerte sont ensuite écrites dans un Logstore spécifié dans Simple Log Service.

L'exemple suivant montre comment configurer une règle d'alerte déclenchée lorsque le trafic entrant public atteint 100 Mo ou plus :

Dans la boîte de dialogue Create Alert Rule, définissez Product sur Object Storage Service (OSS), Resource Range sur Instance et Associate Resources sur examplebucket. Définissez Rule Name sur alert et la condition d'alerte sur (Bucket)Public Inbound Traffic ≥ 100 Mbytes for one consecutive period. Définissez Mute For sur 24 hours et Effective Period de 00:00 à 23:59. Sélectionnez group1 pour Contact Group. Dans Advanced Settings, activez Simple Log Service. Pour Region, sélectionnez China (Hangzhou) et configurez le ProjectName et le Logstore correspondants. Laissez les autres options telles que Auto Scaling, Message Service (MNS)—topic et Function Compute désactivées. Pour Method to Process No Data, sélectionnez Do not process.

Vous pouvez configurer des règles d'alerte pour un compartiment spécifique ou pour toutes les ressources OSS sous votre compte Alibaba Cloud. Pour plus d'informations, consultez la rubrique Créer une règle d'alerte.

Configurer la protection contre le hotlinking

Configurez des règles d'accès basées sur le Referer dans OSS pour empêcher les référeurs non autorisés d'accéder à vos objets. Cela bloque le hotlinking depuis d'autres sites Web et vous protège des coûts de trafic inutiles.

Lorsqu'un navigateur envoie une requête à OSS, l'en-tête de la requête inclut un Referer qui indique la source. Si la protection contre le hotlinking est configurée, OSS évalue le Referer par rapport aux règles configurées pour autoriser ou refuser la requête :

Si le Referer de la requête correspond à une entrée de la liste de blocage ou ne correspond à aucune entrée de la liste d'autorisation, OSS refuse la requête.
Si le Referer de la requête correspond à une entrée de la liste d'autorisation, OSS autorise la requête.

Par exemple, considérons un compartiment avec une liste d'autorisation de Referer contenant https://10.10.10.10.

L'utilisateur A intègre une image, test.jpg, stockée dans le compartiment sur le site Web https://10.10.10.10. Lorsqu'un navigateur demande cette image, l'en-tête de la requête inclut https://10.10.10.10 comme Referer. Dans ce cas, OSS autorise la requête.
L'utilisateur B effectue un hotlink de l'image test.jpg et l'intègre sur le site Web https://192.168.0.0. Lorsqu'un navigateur demande cette image, l'en-tête de la requête inclut https://192.168.0.0 comme Referer. Dans ce cas, OSS refuse la requête.

Pour plus d'informations, consultez la rubrique Protection contre le hotlinking.

Configurer le partage de ressources cross-origin (CORS)

Le partage de ressources cross-origin (CORS) est un mécanisme standard qui permet aux serveurs Web de contrôler l'accès depuis différentes origines afin de garantir des transferts de données inter-origines sécurisés. Les navigateurs appliquent une politique de même origine pour isoler les fichiers potentiellement malveillants. Par défaut, un navigateur bloque une requête si du code JavaScript provenant d'une origine tente d'accéder à une ressource d'une origine différente.

OSS vous permet de configurer des règles CORS pour autoriser ou refuser les requêtes inter-origines. Par exemple, pour autoriser uniquement les requêtes provenant de l'origine www.aliyun.com avec la méthode de requête cross-origin GET, configurez la règle CORS comme suit :

Dans la boîte de dialogue Create CORS Rule, laissez Allowed Headers et Exposed Headers vides. Définissez Cache Timeout (Seconds) sur 0 et laissez Vary: Origin décoché.

Pour plus d'informations, consultez la rubrique Configurer CORS.

Éviter d'utiliser des préfixes séquentiels pour les noms d'objets

Lorsque vous téléchargez un grand nombre d'objets, l'utilisation de préfixes prévisibles et séquentiels tels que des horodatages, des séquences alphabétiques, des dates ou des ID numériques permet aux attaquants de deviner et de récupérer tous vos objets en itérant à travers le modèle de nommage. Cela peut entraîner des fuites de données. Ajoutez un préfixe de hachage hexadécimal aléatoire à vos noms d'objets ou inversez les caractères du nom pour réduire considérablement le risque d'énumération des noms d'objets. Pour plus d'informations, consultez la rubrique Sécurité des données.