L'analyse de l'exposition des ressources examine vos ressources Alibaba Cloud pour identifier les risques de sécurité liés à Internet : mots de passe faibles, vulnérabilités exploitables, ports exposés et composants non protégés. Les résultats sont actualisés automatiquement chaque jour, vous offrant une vue à jour de votre surface d'attaque.
Prérequis liés à l'édition
Cette fonctionnalité nécessite l'une des configurations suivantes :
Abonnement : Acheter une instance d'abonnement et sélectionnez Ultimate ou Enterprise comme édition.
Paiement à l'utilisation : Acheter une fonctionnalité (paiement à l'utilisation), définissez Host and Container Security sur Yes, puis associez le quota de l'édition Ultimate ou Enterprise à au moins un serveur.
Cette fonctionnalité est disponible uniquement pour les serveurs associés à l'édition Ultimate ou Enterprise .
Types de ressources pris en charge
L'analyse de l'exposition des ressources couvre les éléments suivants :
Calcul et base de données : instances ECS, Tair (compatible avec Redis OSS), ApsaraDB RDS et ApsaraDB for MongoDB
Réseau : passerelles NAT et instances Server Load Balancer (SLB) (signalées sous Gateways)
Logiciel : composants système tels qu'OpenSSL et OpenSSH, ainsi que les composants d'application IA
Exposition réseau : ports
Les ressources non déployées sur Alibaba Cloud ne sont pas prises en charge.
Statistiques d'exposition
La page Asset Exposure Analysis affiche les statistiques suivantes pour les ressources exposées sur Internet. Les résultats sont actualisés automatiquement chaque jour.
| Statistique | Description |
|---|---|
| Weak Password | Nombre total de mots de passe faibles détectés sur les instances ECS et les systèmes de base de données exposés sur Internet. Cliquez sur le nombre pour afficher la liste des ressources. |
| Exploitable Vulnerabilities | Nombre total de vulnérabilités exploitables par des attaquants, ventilé par niveau de gravité : risque élevé (rouge), risque moyen (orange) et risque faible (gris). Cliquez sur le total pour ouvrir la page Vulnérabilités. |
| Exposed Assets/Public IP Addresses | Nombre d'instances ECS, de Tair (compatible avec Redis OSS), d'ApsaraDB RDS, d'ApsaraDB for MongoDB et d'adresses IP publiques exposés sur Internet. |
| Gateways | Nombre total de passerelles NAT et d'instances SLB exposées sur Internet. Cliquez sur le nombre pour ouvrir le panneau Gateways, puis cliquez sur le nom d'une passerelle pour afficher ses détails. |
| Exposed Port | Nombre total de ports exposés sur Internet. Cliquez sur le nombre pour ouvrir le panneau Exposed Port, puis cliquez sur un numéro de port pour voir quelles ressources l'utilisent. |
| Exposed Component | Nombre total de composants système (tels qu'OpenSSL et OpenSSH) exécutés sur des instances ECS et exposés sur Internet. Cliquez sur le nombre pour ouvrir le panneau Exposed Component, puis cliquez sur le nom d'un composant pour voir les ressources associées. |
| AI Application Component | Nombre total de composants d'application IA exposés sur Internet. Cliquez sur le nombre pour ouvrir le panneau AI Application Component, puis cliquez sur le nom d'un composant pour voir les ressources associées. |
Niveaux de gravité des vulnérabilités :
| Couleur | Gravité | Action recommandée |
|---|---|---|
| Rouge | Risque élevé | Corrigez dès que possible. |
| Orange | Risque moyen | Traitez rapidement. |
| Gris | Risque faible | Corrigez selon vos convenances. |
Analyser l'exposition des ressources
Security Center analyse automatiquement les ressources exposées chaque jour, sans configuration manuelle requise. Pour obtenir immédiatement les derniers résultats, lancez une analyse manuelle.
Avant de commencer
Assurez-vous que l'agent Security Center est installé et en ligne sur votre instance ECS. Sur la page Host, la colonne Agent de l'instance doit afficher l'icône en ligne (
).
Lancer une analyse manuelle
Connectez-vous à la console Security Center console Security Center console Security Center. Dans le coin supérieur gauche, sélectionnez la région où se trouvent vos ressources : China ou Outside China.
Dans le volet de navigation de gauche, choisissez Risk Governance > Asset Exposure Analysis.
Sur la page Asset Exposure Analysis, cliquez sur Quick Scan sous Asset Exposure Scan.
Afficher les tâches d'analyse
Task Management enregistre les tâches d'analyse automatiques et manuelles des sept derniers jours.
Connectez-vous à la console Security Center console Security Center console Security Center. Dans le coin supérieur gauche, sélectionnez la région où se trouvent vos ressources : China ou Outside China.
Dans le volet de navigation de gauche, choisissez Risk Governance > Asset Exposure Analysis.
Sur la page Asset Exposure Analysis, cliquez sur Task Management dans le coin supérieur droit.
Sur la page Task Management, consultez l'ID de la tâche, le type de tâche, l'heure de la tâche, l'état et la progression. Filtrez les tâches par Task Type, Task Status (Not Started, Running, Waiting for Data Collection, Data Collection in Progress, Complete, Timeout, Stopped ou Failed), ou Task Started At.
Pour afficher les détails d'exposition d'une tâche, cliquez sur Details dans la colonne Actions. Les détails incluent le nombre d'instances exposées, d'instances analysées avec succès et d'analyses ayant échoué, ainsi que la liste des instances de ressources. Filtrez les résultats par état ou par ID d'instance de ressource.
Afficher les détails d'exposition des ressources
Connectez-vous à la console Security Center console Security Center console Security Center. Dans le coin supérieur gauche, sélectionnez la région où se trouvent vos ressources : China ou Outside China.
Dans le volet de navigation de gauche, choisissez Risk Governance > Asset Exposure Analysis.
-
Sur la page Asset Exposure Analysis, examinez les données d'exposition suivantes.
Données de synthèse
La partie supérieure de la page affiche les totaux pour Weak Password et Exploitable Vulnerabilities. Cliquez sur n'importe quel nombre pour afficher les détails associés.
Liste des ressources exposées
Filtrez les ressources par état de vulnérabilité, groupe de ressources, port ou autres dimensions pour trouver les expositions selon différents critères. Si une ressource possède un tag d'application IA, cela signifie que des composants IA sont exposés à Internet.
Détails d'exposition d'une ressource
Cliquez sur Exposure Details dans la colonne Actions d'une ressource pour ouvrir le panneau des détails. Le panneau affiche la topologie du lien de communication de la ressource, les détails du lien, ainsi que les mots de passe faibles et les vulnérabilités détectés. Utilisez le menu déroulant des ressources en haut du panneau pour basculer entre les ressources. Consultez les détails des risques dans les onglets suivants :
Topologie du lien de communication
Si une instance ECS ou une base de données accède à Internet via plusieurs méthodes, la topologie affiche plusieurs chemins. Par exemple, si une instance utilise à la fois une passerelle NAT et une instance SLB, la topologie affiche deux chemins. Cliquez sur n'importe quelle ressource sur un chemin pour basculer vers ce chemin et afficher ses détails. Les couleurs des nœuds indiquent la gravité des vulnérabilités détectées sur chaque ressource :
Exporter les données d'exposition
Pour exporter les données d'exposition au format Excel, cliquez sur l'icône
dans le coin supérieur droit au-dessus de la liste des ressources exposées.Weak Password — Affichez les mots de passe faibles détectés. Cliquez sur le nom d'un élément de mot de passe faible pour accéder à la page des détails de la ressource. Dans l'onglet Baseline Risks, consultez tous les risques de référence détectés sur cette ressource. Modifiez rapidement les mots de passe faibles pour prévenir les accès non autorisés et le vol de données.
Exploitable Vulnerabilities / All Vulnerabilities — Cliquez sur l'URL d'une vulnérabilité pour ouvrir la page des détails de la vulnérabilité, où vous pouvez consulter les informations sur la vulnérabilité et appliquer les suggestions de correction fournies. Corrigez les vulnérabilités à haut risque dès que possible.
Risk-related Configurations — Cliquez sur un élément de risque détecté pour accéder à la page Cloud Service et afficher les détails du risque ainsi que les options de remédiation.
Le code couleur s'applique uniquement à vos ressources. Les autres composants de la topologie, tels que les nœuds Internet, sont gris par défaut.
Couleur Signification Rouge Vulnérabilités à haut risque détectées — exploitables via Internet. Orange Vulnérabilités à risque moyen détectées — exploitables via Internet. Gris Vulnérabilités à faible risque détectées, ou couleur par défaut pour les nœuds Internet. Vert Aucun mot de passe faible ni vulnérabilité exploitable détecté.
Étapes suivantes
Pour réduire l'exposition à Internet des instances ECS :
Utiliser Cloud Firewall pour contrôler l'accès entre les instances ECS
Activer ou désactiver le pare-feu système sur une instance ECS Linux
Configurer les règles de pare-feu pour une instance ECS Windows
Pour traiter les vulnérabilités détectées :
Pour corriger les mots de passe faibles dans votre système :