Security Center:Intégration des actifs soumis à des restrictions réseau (accès par proxy)

Cas d'utilisation

VPC incapable de se connecter directement à Security Center

Si votre VPC Alibaba Cloud impose des restrictions d'accès strictes et ne peut pas se connecter directement à Security Center, vous pouvez utiliser l'accès par proxy pour connecter les instances ECS à Security Center et bénéficier de sa protection.

Centres de données sur site

Clouds hybrides

Limites

Seuls les serveurs Linux peuvent servir de serveurs proxy.

Les serveurs connectés via un accès par proxy prennent en charge la plupart des fonctionnalités de Security Center, à l'exception de celles listées ci-dessous. Pour consulter la liste complète des fonctionnalités, reportez-vous à la section Fonctions et fonctionnalités.

Fonctionnalités de Security Center non prises en charge via l'accès par proxy

Prérequis

• Préparez un ou plusieurs serveurs capables d'accéder à Internet pour servir de serveurs proxy, en respectant les exigences suivantes :

  • Réservez une bande passante réseau suffisante. Chaque serveur connecté nécessite 10 Kbit/s de bande passante. Par exemple, la connexion de 50 serveurs requiert une réservation de 500 Kbit/s de bande passante sur le serveur proxy.

  • Les ports 80, 443 et 8080 doivent être ouverts sur le serveur proxy pour permettre les connexions depuis les hôtes ou les conteneurs.

• Si vous utilisez plusieurs serveurs comme proxys, privilégiez l'accès par nom de domaine. Assurez-vous de disposer d'un nom de domaine pour les serveurs proxy et qu'il résolve vers les adresses IP des serveurs proxy, les adresses IP d'équilibrage de charge ou les adresses IP virtuelles (VIP).

• Pour les scénarios de cloud hybride, établissez une connectivité réseau entre les serveurs cloud tiers et les VPC Alibaba Cloud.

Étape 1 : Créer un cluster de proxys

1. Connectez-vous à la console Security Center.

   • Dans le volet de navigation de gauche, sélectionnez System Configuration > Feature Settings. Dans le coin supérieur gauche de la console, sélectionnez la région des actifs à protéger : Chinese Mainland ou Outside Chinese Mainland.

2. Sous l'onglet Agent > Proxy Access, cliquez sur Create Cluster.

3. Dans la boîte de dialogue Create Cluster, configurez le nom du cluster, l'adresse de communication et la description, puis cliquez sur OK.

   • Address : Saisissez l'adresse IP ou le nom de domaine du serveur proxy. Une fois le cluster créé, les hôtes ou les conteneurs du cluster se connectent au serveur proxy via cette Address.

   • Lorsque l'Address est définie sur l'adresse IP d'un serveur proxy, vous ne pouvez configurer qu'un seul serveur proxy. Utilisez cette méthode lorsque vous connectez un petit nombre d'hôtes ou de conteneurs (par exemple, 5).

   • Pour configurer plusieurs serveurs proxy, utilisez un nom de domaine comme Address et assurez-vous que le nom de domaine résout vers les adresses IP des serveurs proxy, les adresses IP d'équilibrage de charge ou les adresses IP virtuelles (VIP).

   • Après la création du cluster, le nom du cluster et l'adresse de communication ne peuvent pas être modifiés. Saisissez un nom de cluster significatif et une adresse de communication accessible.

Étape 2 : Déployer un serveur proxy

1. Sous l'onglet Agent > Proxy Access, dans la colonne Actions du cluster cible, cliquez sur Deploy Proxy.

2. Dans le panneau Deploy Proxy Server, sélectionnez un mode de déploiement et finalisez la configuration.

   Si le serveur proxy dispose déjà de l'agent Security Center installé et en ligne, sélectionnez le déploiement rapide. Si le serveur proxy ne dispose pas de l'agent Security Center installé, optez pour le déploiement manuel.

   • Déploiement rapide

     Lorsque vous sélectionnez Quick Deployment, choisissez le serveur Linux à utiliser comme serveur proxy dans la liste des actifs, puis cliquez sur OK.

   • Déploiement manuel

     Lorsque vous sélectionnez Manual Deployment, copiez la commande de déploiement manuel affichée sur la page, connectez-vous au serveur proxy en tant qu'administrateur et exécutez la commande.

   Environ 5 minutes après le déploiement, vous pouvez consulter l'état de connexion du serveur proxy sous l'onglet Agent > Proxy Access.

   Après le déploiement du serveur proxy, si l'agent Security Center n'est pas installé, le serveur dispose uniquement de capacités de proxy et ne peut pas utiliser les fonctionnalités de sécurité telles que la détection des vulnérabilités et les vérifications des lignes de base. Pour protéger le serveur proxy, installez l'agent Security Center. Pour plus d'informations, consultez la section installation de l'agent Security Center.

Étape 3 : Connecter les serveurs au cluster de proxys

Une fois le cluster créé et le serveur proxy déployé, ajoutez des serveurs en tant que clients au cluster de proxys pour les connecter à Security Center via un accès par proxy.

1. Sous l'onglet Agent > Proxy Access, dans la colonne Actions du cluster cible, cliquez sur Install Agent.

2. Dans le panneau Install Agent, sélectionnez un mode d'accès et finalisez la configuration.

   Si le serveur dispose déjà de l'agent Security Center installé et en ligne, sélectionnez-le directement. Si le serveur ne dispose pas de l'agent Security Center installé, utilisez la commande d'installation.

   • Sélectionner les serveurs directement

     Dans la liste des actifs, sélectionnez les serveurs à connecter, puis cliquez sur OK.

   • Utiliser les commandes d'installation

     1. Cliquez sur Generate Installation Command.

     2. Sous l'onglet Agent > Installation Command, cliquez sur Create Installation Command.

     3. Dans la boîte de dialogue Create Installation Command, configurez les paramètres, puis cliquez sur OK.

        Paramètre	Description
        Expiration Time	L'heure d'expiration de la commande d'installation.
        Service Provider	Le fournisseur de services du serveur.
        Default Group	Le groupe du serveur dans la liste des actifs hôte de Security Center.
        OS	Le système d'exploitation du serveur.
        Create Image System	Indique s'il faut créer une image pour le serveur. Conservez la valeur par défaut No.
        Select Proxy	Sélectionnez Self-managed Proxy Cluster, puis choisissez le cluster de proxys auquel vous souhaitez vous connecter.

     4. Dans la liste des commandes d'installation, affichez et copiez la commande d'installation. Après avoir généré la commande, vérifiez que le champ Proxy Access affiche le nom du cluster de proxys sélectionné, puis cliquez sur l'icône de copie située dans le coin supérieur droit de la zone de commande.

     5. Connectez-vous au serveur à connecter en tant qu'administrateur et exécutez la commande d'installation en fonction du système d'exploitation.

Environ 5 minutes après l'installation, cliquez sur le nombre figurant dans la colonne Client Connected du cluster de proxys pour afficher la liste des serveurs connectés via le proxy.

(Facultatif) Étape 4 : Configurer une politique de cluster proxy

Par défaut, Security Center renvoie les données collectées par les serveurs proxy vers le serveur sans limitation de bande passante ni de fréquence. Pour modifier le mode de transmission des données ou définir des limites de bande passante et de fréquence, suivez les étapes ci-dessous.

1. Dans l'onglet Agent > Proxy Access, cliquez sur Proxy Settings dans la colonne Actions du cluster cible.

2. Dans la boîte de dialogue Proxy Settings, configurez les paramètres, puis cliquez sur OK.

   Le mode de transmission des données prend en charge les options Send Data Back to Management Center et Directly Cache to Specified Directory.

   Mode de transmission	Description
   Send Data Back to Management Center	Envoie les données à Security Center pour la détection des risques et des menaces. Vous pouvez définir manuellement la bande passante et la fréquence de communication entre le serveur proxy et Security Center. Options disponibles : Unlimited : aucune limite de bande passante ou de fréquence. Custom : définissez des limites personnalisées pour la bande passante et la fréquence. Maintenez l'utilisation de la bande passante et les processus de communication en dessous de 60 % des ressources totales.
   Directly Cache to Specified Directory	Effectue la détection des risques et des menaces pour les types de données spécifiés au sein de votre réseau professionnel (centre de données sur site, VPC, etc.). Les journaux sont stockés par défaut dans le répertoire /usr/local/aegis/proxy/log/export.log sur le serveur proxy. Vous pouvez modifier le répertoire de cache. La capacité maximale du répertoire de cache est de 10 Go. Lorsque l'espace de stockage dépasse 10 Go, le système écrase les journaux les plus anciens de manière circulaire.

Opérations connexes

FAQ