Mulai menggunakan Cloud Firewall untuk melindungi aset cloud - Cloud Firewall

Cloud Firewall adalah firewall berbasis Software-as-a-Service (SaaS) yang menyediakan keamanan terpadu, efisien, dan cerdas bagi aset cloud Anda. Panduan ini memandu pengguna baru melalui proses mulai dari aktivasi layanan dan perlindungan aset otomatis hingga konfigurasi kebijakan keamanan serta verifikasi efektivitasnya, sehingga Anda dapat segera membangun lapisan pertama pertahanan jaringan di lingkungan cloud Anda.

Langkah 1: Aktifkan Cloud Firewall dengan model pay-as-you-go

Buka halaman pembelian Cloud Firewall, atur Product Type menjadi Pay-as-you-go 2.0, lalu konfigurasikan pengaturan berikut.

Parameter	Description
Auto Protection for Internet Assets	Pilih Yes untuk secara otomatis menambahkan semua aset publik ke firewall dan mengaktifkan perlindungan untuk aset baru apa pun. Anda dapat mengubah pengaturan ini nanti di konsol.
Log Analysis dan Log Analysis and Storage Capacity	Kami menyarankan agar Anda mempertahankan pengaturan default untuk menyimpan access log. Fitur ini memungkinkan pengumpulan, kueri, analisis, dan pemrosesan log traffic secara real-time untuk aset yang dilindungi guna membantu memenuhi persyaratan kepatuhan.
Service-linked Role	Untuk menyediakan fitur seperti access control dan monitoring, Cloud Firewall memerlukan akses ke sumber daya cloud Anda. Klik Create Service-linked Role. Sistem akan secara otomatis membuat peran terkait layanan AliyunServiceRoleForCloudFW. Jangan mengubah peran ini.

Baca dan setujui Cloud Firewall (Pay-as-you-go) Service Agreement, lalu klik Buy Now dan selesaikan pembayaran.

Langkah 2: Lihat aset publik dan status perlindungan

Masuk ke Konsol Cloud Firewall. Di panel navigasi kiri, klik Firewall.
Di tab Internet Firewall, Anda dapat melihat aset publik dalam Akun Alibaba Cloud Anda dan status perlindungannya. Karena Anda telah mengaktifkan Auto Protection for Internet Assets saat pembelian, kolom Firewall Status untuk semua aset publik secara default diatur ke Protected.

Langkah 3: Tinjau intrusion prevention system (IPS)

Sistem pencegahan intrusi (IPS) bawaan pada Cloud Firewall mendeteksi dan memblokir berbagai ancaman yang dikenal secara real-time, termasuk serangan jaringan, eksploitasi kerentanan, upaya brute-force, penyebaran worm, aktivitas penambangan kripto, komunikasi backdoor, dan serangan denial-of-service (DoS).

Ikuti langkah-langkah berikut untuk melihat Aturan IPS.

Di panel navigasi kiri, pilih Prevention Configuration > IPS Configuration.
Secara default, sistem mengaktifkan fitur Basic Protection dan Virtual Patching, serta mengatur Threat Engine Mode ke Block - Medium, yang sesuai untuk sebagian besar kasus penggunaan.

Langkah 4: Konfigurasikan kebijakan access control list (ACL)

Cloud Firewall memungkinkan Anda mengonfigurasi kebijakan access control secara independen untuk aset yang berbeda, memberikan kontrol granular atas traffic inbound dan outbound mereka.

Secara default, Cloud Firewall mencakup beberapa kebijakan dengan Action diatur ke Allow. Anda dapat melihatnya dengan memilih Prevention Configuration > Access Control > Policy Configuration > Internet Border di panel navigasi kiri.

Direction	Source	Destination	Protocol	Port	Description
Outbound	0.0.0.0/0	0.0.0.0/0	ICMP	-	Mengizinkan aset cloud mengirim permintaan ICMP outbound, seperti `ping`, untuk pengujian konektivitas jaringan.
Outbound	0.0.0.0/0	0.0.0.0/0	UDP	53	Mengizinkan aset cloud mengirim permintaan kueri DNS untuk resolusi nama domain, misalnya untuk mengakses situs web atau penemuan layanan.
Outbound	0.0.0.0/0	0.0.0.0/0	UDP	123	Mengizinkan aset cloud terhubung ke server NTP untuk sinkronisasi waktu guna memastikan ketepatan waktu sistem.
Inbound	0.0.0.0/0	0.0.0.0/0	ICMP	-	Mengizinkan jaringan eksternal melakukan operasi `ping` pada aset cloud untuk pemeriksaan konektivitas dan diagnostik.

Karena sebagian besar serangan siber berasal dari jaringan publik, Anda harus mengonfigurasi kebijakan keamanan yang selaras dengan kebutuhan bisnis Anda. Kami merekomendasikan pendekatan allowlist: buat kebijakan catch-all deny all dengan prioritas terendah, lalu tambahkan kebijakan allow spesifik dengan prioritas lebih tinggi.

Penting

Risiko Salah Konfigurasi: Contoh kebijakan berikut hanya sebagai referensi umum dan mencakup aturan deny all. Menerapkannya langsung ke lingkungan produksi dapat menyebabkan gangguan layanan. Traffic yang tidak sesuai dengan aturan allow eksplisit akan diblokir oleh kebijakan catch-all.
Rekomendasi Konfigurasi:
1. Urutan Sangat Penting: Selalu letakkan aturan allowlist sebelum aturan deny catch-all. Sebelum menerapkan, pastikan Anda telah menambahkan aturan allow untuk semua traffic bisnis yang diperlukan di atas aturan deny.
2. Validasi Bertahap: Awalnya, atur action kebijakan catch-all ke Monitor. Analisis traffic di Log Audit dan secara bertahap sempurnakan kebijakan Anda agar hanya mengizinkan traffic tepercaya yang penting bagi bisnis. Setelah memverifikasi bahwa semua traffic sah diizinkan, ubah action menjadi Deny.
3. Isolasi Lingkungan: Anda dapat mengaktifkan aturan deny catch-all di lingkungan pengujian. Untuk lingkungan produksi, jika Anda belum dapat menentukan allowlist lengkap segera, batasi alamat sumber kebijakan catch-all ke rentang IP pengujian untuk menghindari gangguan layanan produksi.

Konfigurasikan kebijakan: Buka halaman Prevention Configuration > Access Control > Policy Configuration > Internet Border dan konfigurasikan aturan berikut:

Inbound (diurutkan berdasarkan prioritas dari tinggi ke rendah):

Source	Destination	Protocol	Application	Port	Action
Alibaba Cloud trusted IPs	Public IP of cloud asset	All	ANY	All	Allow
Back-to-origin IP addresses of cloud services (for example, WAF, Anti-DDoS)	Public IP of cloud asset	All	ANY	All	Allow
IP addresses of trusted remote O&M staff or bastion host	Public IP of cloud asset	TCP	RDP, SSH	3389, 22	Allow
IP addresses of trusted O&M staff	Public IP of cloud asset	ICMP	ANY	-	Allow
All	Public IP of cloud asset for web services	TCP	HTTPS	443	Allow
All	Public IP of cloud asset for API services	TCP	HTTP	Respective API port	Allow
All	All	All	All	All	Deny

Outbound (diurutkan berdasarkan prioritas dari tinggi ke rendah):

Source	Destination	Protocol	Application	Port	Action
All	Alibaba Cloud trusted IPs, Alibaba Cloud trusted domains	All	ANY	All	Allow
All	Software repositories, certificate services	All	ANY	All	Allow
All	Trusted domains (for example, Microsoft, Google, and Windows)	TCP	HTTPS, HTTP	All	Allow
All	All	UDP	ANY	53, 123	Allow
All	All	ICMP	ANY	-	Allow
All	All	All	All	All	Deny

Atur mode mesin ACL: Mode default mengizinkan traffic dari aplikasi atau domain yang tidak dikenali untuk mencegah false positive selama pengaturan awal. Setelah Anda memastikan kebijakan Anda sudah benar, klik ACL Engine Management di pojok kanan atas dan ubah ACL Engine Mode untuk aset Anda menjadi Strict Mode.
Verifikasi dan uji: Tunggu 3 hingga 5 menit setelah mengonfigurasi kebijakan. Gunakan perintah seperti ping atau curl untuk menguji konektivitas. Kemudian, refresh Konsol Cloud Firewall dan klik angka pada kolom Hits/Last Hit At untuk melihat log terkait di halaman Log Audit.

Anda telah menyelesaikan panduan cepat ini. Pilih salah satu opsi berikut sesuai kebutuhan Anda:

(Direkomendasikan) Lanjutkan menggunakan Cloud Firewall: Buka Optimasi lanjutan untuk menyempurnakan konfigurasi Anda demi keamanan dan kepatuhan tingkat enterprise.
Hentikan penggunaan Cloud Firewall: Buka Lepaskan sumber daya untuk menghentikan penagihan.

Optimasi lanjutan

Gunakan buku alamat

Saat kebijakan access control menjadi kompleks, penggunaan address book dapat sangat menyederhanakan manajemen. Anda dapat menentukan terlebih dahulu kelompok alamat IP yang terkait dengan bisnis, seperti IP egress kantor atau IP mitra tepercaya, lalu mereferensikan address book tersebut dalam kebijakan Anda.

Buka halaman Prevention Configuration > Address Book.
Klik tab Cloud Service IP Address Book untuk melihat address book yang disediakan oleh Alibaba Cloud.
Klik tab Custom IP Address Book, lalu klik Create Address Book untuk menentukan kumpulan alamat IP yang sering digunakan. Untuk informasi lebih lanjut, lihat Address Book.

Konfigurasi IPS

Mode default Block - Medium cocok untuk sebagian besar skenario. Namun, Anda mungkin perlu menyesuaikan konfigurasi IPS dalam situasi berikut:

Skema perlindungan berisiko tinggi (misalnya selama serangan sering terjadi atau periode keamanan kritis):
- Tambahkan alamat IP tepercaya ke Allowlist.
- Ubah Threat Engine Mode menjadi Block - Strict.
- Aktifkan fitur Threat Intelligence.
Tingginya laju positif palsu:
- Tambahkan alamat IP tepercaya ke Allowlist.
- Ubah Threat Engine Mode menjadi Block - Loose.
- Jika masalah tetap berlanjut, ubah mode menjadi Monitor.

Aktifkan VPC Firewall

Jika Anda menggunakan beberapa jaringan Virtual Private Cloud (VPC) atau telah menghubungkan aset on-premises menggunakan Cloud Enterprise Network, Anda dapat mengaktifkan VPC Firewall. Fitur ini memeriksa dan mengontrol lalu lintas timur-barat antar-VPC yang terhubung melalui Transit Router, serta antara VPC dan pusat data lokal yang terhubung melalui Express Connect, sehingga mengamankan lalu lintas jaringan internal Anda.

Gunakan paket langganan

Jika Anda berencana menggunakan Cloud Firewall dalam jangka panjang, kami merekomendasikan pembelian langganan. Alternatifnya, Anda dapat menggabungkan model pay-as-you-go dengan rencana penghematan untuk menurunkan biaya.

Lepaskan sumber daya dan hentikan penagihan

Jika Anda tidak lagi memerlukan instans Cloud Firewall yang dibuat dalam panduan ini, buka halaman Overview dan di pojok kanan atas, pilih More > Self-service Release.