Cloud Firewall dilengkapi mesin ancaman bawaan yang memblokir lalu lintas internet berbahaya, melindungi dari serangan umum secara real time, dan menyediakan pembenahan virtual yang akurat. Anda dapat mengonfigurasi mode mesin serta mengelola modul seperti Threat Intelligence, Basic Protection, Intelligent Defense, dan Virtual Patching untuk mengidentifikasi dan memblokir potensi intrusi secara lebih tepat. Topik ini menjelaskan cara mengonfigurasi fitur Intrusion Prevention System (IPS).
Kemampuan IPS untuk batas internet
Mode mesin ancaman
Saat Anda mengaktifkan Cloud Firewall, mesin ancamannya secara default menggunakan mode blokir dan secara otomatis memilih tingkat keketatan berdasarkan lalu lintas Anda. Fitur Block Mode dan Block Mode hanya memblokir ancaman ketika Block Mode diaktifkan. Jika Block Mode dinonaktifkan, fitur pencegahan intrusi hanya memantau ancaman dan lalu lintas berbahaya.
Untuk informasi selengkapnya tentang mode mesin, lihat Ikhtisar Kemampuan IPS.
Masuk ke Konsol Cloud Firewall. Di panel navigasi sebelah kiri, pilih .
Di tab Internet Border, konfigurasi Threat Engine Mode di bagian paling kanan.
Anda dapat memilih salah satu mode mesin berikut:
Monitor: Dalam mode ini, Cloud Firewall mencatat log dan memberikan peringatan terhadap serangan tanpa memblokirnya. Tindakan perlindungan untuk Threat Intelligence, Basic Protection, dan Virtual Patching semuanya diatur ke Monitor.
Block: Dalam mode ini, Cloud Firewall memblokir lalu lintas berbahaya dan menghentikan aktivitas intrusi.
Anda dapat memilih mode blok dengan tingkat keketatan berbeda sesuai kebutuhan keamanan Anda:
Block - Loose: Menyediakan perlindungan kasar dan menggunakan aturan dengan tingkat positif palsu rendah. Mode ini ideal untuk layanan yang sensitif terhadap positif palsu.
Block - Medium: Memberikan keseimbangan antara mode Loose dan Strict dengan akurasi tinggi. Mode ini cocok untuk operasional harian.
Block - Strict: Menyediakan perlindungan detail halus dengan rangkaian aturan lengkap. Mode ini mungkin memiliki tingkat positif palsu lebih tinggi daripada mode Medium, tetapi ideal untuk skenario yang memerlukan tingkat negatif palsu rendah.
Fitur
Konfigurasi IPS untuk batas internet menyediakan fitur seperti Basic Protection, Virtual Patching, Threat Intelligence, Intelligent Defense, Data Loss Prevention, dan Traffic Traceability. Anda dapat menggunakan tombol toggle di sebelah kiri untuk mengaktifkan atau menonaktifkan fitur-fitur ini.
Basic protection
Toggle Basic Protection diaktifkan secara default. Cloud Firewall mengaktifkan aturan deteksi untuk beberapa ancaman umum. Basic Protection menyediakan pencegahan intrusi dasar, termasuk memblokir kerentanan eksekusi perintah dan koneksi dari perangkat yang telah dikompromikan ke server Command and Control (C&C). Fitur ini memberikan perlindungan esensial bagi aset Anda. Kami merekomendasikan agar Anda tetap mengaktifkan Basic Protection untuk meningkatkan keamanan.
Ubah aturan perlindungan: Di kolom Current Action, ubah aksi untuk suatu aturan. Aturan yang dimodifikasi akan ditandai sebagai aturan kustom.
Kembalikan aturan perlindungan default: Klik Restore to Default IPS Rules, lalu klik OK.
Aktifkan atau nonaktifkan aturan: Klik toggle di kolom Status.
Enabled: Aturan aktif. Aturan perlindungan kustom memiliki prioritas lebih tinggi daripada aturan default.
Disabled: Aturan tidak aktif.
Virtual patching
Toggle Virtual Patching diaktifkan secara default. Cloud Firewall menyediakan perlindungan real time terhadap kerentanan populer berisiko tinggi dan darurat. Virtual Patching menerapkan hot-patch pada lapisan jaringan untuk memblokir upaya eksploitasi, sehingga menghindari gangguan layanan yang dapat terjadi saat melakukan patching pada host. Tidak diperlukan instalasi patch pada server Anda. Jika fitur ini dinonaktifkan, fitur tersebut tidak lagi menerima pembaruan real time. Kami merekomendasikan agar Anda tetap mengaktifkan semua virtual patch.
Ubah aturan perlindungan: Di kolom Current Action, ubah aksi untuk suatu aturan. Aturan yang dimodifikasi akan ditandai sebagai aturan kustom.
Kembalikan aturan perlindungan default: Klik Restore to Default IPS Rules, lalu klik OK.
Aktifkan atau nonaktifkan aturan: Klik toggle di kolom Status.
Enabled: Aturan aktif. Aturan perlindungan kustom memiliki prioritas lebih tinggi daripada aturan default.
Disabled: Aturan tidak aktif.
Threat intelligence
Toggle Threat Intelligence diaktifkan secara default. Cloud Firewall memindai ancaman berdasarkan feed intelijen dan memungkinkan Anda mengatur aksi menjadi Monitor atau Block. Fitur ini menyinkronkan alamat IP berbahaya yang terdeteksi di seluruh jaringan Alibaba Cloud ke Cloud Firewall Anda. Termasuk di antaranya sumber akses berbahaya, sumber pemindaian, dan sumber serangan brute-force. Hal ini memungkinkan Anda untuk secara proaktif mempertahankan diri dari ancaman jaringan. Kami merekomendasikan agar Anda mengaktifkan Threat Intelligence.
Threat Intelligence mendeteksi dan memblokir alamat IP berbahaya secara independen melalui mesin IPS. Alamat IP berbahaya yang diidentifikasi oleh Threat Intelligence tidak secara otomatis disinkronkan ke buku alamat IP yang digunakan oleh kebijakan kontrol akses. Keduanya merupakan mekanisme independen: Threat Intelligence menghasilkan peringatan atau memblokir alamat IP berbahaya yang terdeteksi, sedangkan buku alamat IP yang digunakan oleh kebijakan kontrol akses dikelola secara manual.
Intelligent defense
Toggle Intelligent Defense diaktifkan secara default. Cloud Firewall belajar dari data serangan di seluruh cloud untuk meningkatkan akurasi deteksi ancaman dan serangan. Saat ini, Intelligent Defense hanya didukung ketika mesin ancaman diatur ke mode monitor.
Untuk mengaktifkan Intelligent Defense, Anda harus terlebih dahulu mengaktifkan Basic Protection.
Panel Intelligent Defense menyediakan entri ke Allowlist di pojok kanan atas dan menampilkan versi basis data aturan saat ini, seperti IPS-2502-01, di pojok kanan bawah.
Data loss prevention
Cloud Firewall memeriksa lalu lintas keluar dari aset Anda ke internet untuk mengidentifikasi potensi eksfiltrasi data sensitif.
Anda harus terlebih dahulu mengaktifkan pendeteksian kebocoran data untuk aset Anda.
Di daftar General Industry Template, lihat tipe data yang dapat diidentifikasi oleh Cloud Firewall. Anda dapat mengaktifkan deteksi untuk tipe data tertentu sesuai kebutuhan bisnis Anda.
Klik Apply to Assets, temukan aset publik target, lalu di kolom Actions, klik Enable Data Leak Detection.
Di halaman Data Loss Prevention, Anda dapat melihat ikhtisar event kebocoran data yang terdeteksi oleh Cloud Firewall. Halaman ini menyediakan detail mengenai aset terdampak, event kebocoran, dan muatan berisiko. Untuk informasi selengkapnya, lihat Data Loss Prevention.
Traffic Traceability
Ketika alamat IP real suatu layanan disembunyikan, misalnya di balik Gateway NAT atau load balancer, menemukan instans spesifik (seperti Instance ECS atau server) yang sedang diserang menjadi sulit. Fitur Private IP Traceback mengotomatiskan pelacakan sumber serangan dengan mengorelasikan NAT session log untuk mengungkap alamat IP privat, sehingga membantu Anda mengidentifikasi aset berisiko dengan cepat.
Fitur ini hanya didukung untuk aset publik Gateway NAT.
Mengaktifkan Traffic Traceability tidak menimbulkan biaya tambahan dari Cloud Firewall. Namun, sistem membuat indeks untuk dan menjalankan kueri terhadap NAT session log Anda, yang menghasilkan biaya Log Service (SLS). Untuk informasi selengkapnya tentang penagihan SLS, lihat Billing of SLS.
Jika Traffic Traceability diaktifkan tetapi indeks untuk NAT session log tidak diaktifkan atau tidak memiliki bidang yang diperlukan, sistem secara otomatis membuat indeks baru atau menambahkan bidang yang diperlukan.
Halaman Private IP Traceback mencantumkan aset publik yang mendukung pelacakan. Untuk NAT Gateway yang sesuai, Anda harus terlebih dahulu mengaktifkan Internet Firewall Status dan NAT Gateway Session Logs sebelum Cloud Firewall dapat melakukan traceback IP privat. Saat Anda mengklik toggle di kolom Actions, muncul prompt dengan tautan untuk memandu Anda melalui proses penyiapan. Anda juga dapat merujuk ke dokumen berikut untuk instruksi detail:
Aktifkan Internet Firewall Protection: Enable the firewall
Aktifkan NAT session log: Procedure for configuring NAT session logs
CatatanNAT session log tidak diperlukan untuk konfigurasi DNAT-only.
Setelah Internet Firewall Protection dan NAT session log diaktifkan, klik OK untuk mengaktifkan Private IP Traceback. Ketika Private IP Traceback menampilkan Enabled, fitur pelacakan aktif untuk aset publik tersebut.
CatatanFitur Traffic Traceability bekerja dengan NAT session log. Karena latensi data dalam pengambilan dan pengiriman log Gateway NAT, hasil pelacakan IP privat mungkin tertunda sekitar 20 menit.
Allowlist
Jika Anda perlu mengizinkan lalu lintas dua arah tepercaya ke atau dari alamat IP tujuan atau sumber IPv4 dan IPv6 tertentu, Anda dapat menambahkannya ke daftar putih. Lalu lintas dari alamat IP dalam daftar putih tidak diblokir oleh aturan Basic Protection, Intelligent Defense, atau Virtual Patching. Anda dapat menambahkan hingga 50 alamat IP ke daftar putih alamat IP tujuan maupun daftar putih alamat IP sumber.
Di sisi kanan halaman, klik Allowlist untuk mengonfigurasi pengaturan.
Daftar putih hanya berlaku untuk Basic Protection, Intelligent Defense, dan Virtual Patching.
Kemampuan IPS untuk batas VPC
Anda harus mengaktifkan VPC Firewall sebelum dapat mengonfigurasi kemampuan IPS untuk batas VPC.
Aturan perlindungan dasar
Basic Protection menyediakan pencegahan intrusi dasar, termasuk memblokir kerentanan eksekusi perintah dan koneksi dari perangkat yang telah dikompromikan ke server C&C. Fitur ini memberikan perlindungan esensial bagi aset Anda.
Klik .
Di panel Basic Protection, konfigurasi Current Action dan Status untuk setiap aturan.
Ubah aturan perlindungan: Di kolom Current Action, ubah aksi untuk suatu aturan. Aturan yang dimodifikasi akan ditandai sebagai aturan kustom.
Kembalikan aturan perlindungan default: Klik Restore All IPS Rules of VPC Firewall, lalu klik OK.
Aktifkan atau nonaktifkan aturan: Klik toggle di kolom Status.
Enabled: Aturan aktif. Aturan perlindungan kustom memiliki prioritas lebih tinggi daripada aturan default.
Disabled: Aturan tidak aktif.
Aturan perlindungan yang diaktifkan berlaku untuk semua VPC Firewall untuk layanan Anda.
Aturan virtual patching
Cloud Firewall menyediakan perlindungan real time terhadap kerentanan populer berisiko tinggi dan darurat. Virtual Patching menerapkan hot-patch pada lapisan jaringan untuk memblokir upaya eksploitasi, sehingga menghindari gangguan layanan yang dapat terjadi saat melakukan patching pada host. Anda tidak perlu menginstal virtual patch pada server Anda. Jika fitur ini dinonaktifkan, fitur tersebut tidak lagi menerima pembaruan real time.
Klik View Virtual Patching Policies.
Di panel Virtual Patching, konfigurasi Current Action dan Status untuk setiap aturan.
Ubah aturan perlindungan: Di kolom Current Action, ubah aksi untuk suatu aturan. Aturan yang dimodifikasi akan ditandai sebagai aturan kustom.
Kembalikan aturan perlindungan default: Klik Restore All IPS Rules of VPC Firewall, lalu klik OK.
Aktifkan atau nonaktifkan aturan: Klik toggle di kolom Status.
Enabled: Aturan aktif. Aturan perlindungan kustom memiliki prioritas lebih tinggi daripada aturan default.
Disabled: Aturan tidak aktif.
Aturan Virtual Patching yang diaktifkan berlaku untuk semua VPC Firewall untuk layanan Anda.
Mode IPS
Klik Configure IPS Mode.
Di kotak dialog Configure IPS Mode, pilih mode lalu klik OK.
Anda dapat memilih salah satu mode IPS berikut:
monitor mode: Dalam mode ini, Cloud Firewall memantau lalu lintas berbahaya dan menghasilkan peringatan.
block mode: Dalam mode ini, Cloud Firewall memblokir lalu lintas berbahaya dan menghentikan aktivitas intrusi. Anda dapat memilih tingkat keketatan berbeda berdasarkan kebutuhan perlindungan Anda.
Loose: blocks attacks in a loose manner by using rules that prevent a high rate of false positives. This level is suitable for business that requires the false positive rate to be minimized.
Medium: blocks attacks in a standard manner by using common rules. This level is suitable for daily O&M.
Strict: blocks attacks in a strict manner by using all rules. This level is suitable for business that requires the false negative rate to be minimized, such as major events or cybersecurity protection activities launched by public service sectors. The activities are rehearsals for network attack and defense. This level may cause a higher false positive rate than the Medium level.
Kemampuan IPS
Anda dapat mengonfigurasi Basic Protection dan Virtual Patching. Setelah konfigurasi selesai, Cloud Firewall memeriksa lalu lintas berdasarkan aturan Basic Protection dan Virtual Patching yang diaktifkan.
Temukan instans Cloud Enterprise Network (CEN) atau firewall Express Connect target. Di kolom Actions, klik Configure IPS Capabilities untuk mengonfigurasi pengaturan.
Daftar putih IPS
Jika Anda perlu mengizinkan lalu lintas tepercaya ke atau dari alamat IP tujuan atau sumber tertentu, Anda dapat menambahkannya ke daftar putih. Lalu lintas dari alamat IP dalam daftar putih tidak diblokir oleh aturan Basic Protection, Intelligent Defense, atau Virtual Patching. Anda dapat menambahkan hingga 50 alamat IP ke daftar putih alamat IP tujuan maupun daftar putih alamat IP sumber.
Temukan instans Cloud Enterprise Network (CEN) atau firewall Express Connect target. Di kolom Actions, klik Configure IPS Whitelist untuk mengonfigurasi pengaturan.
Daftar putih dapat dikonfigurasi dalam tiga cara: Not configured, Custom, dan Reference address book. Jika Anda memilih Custom, masukkan Blok CIDR, seperti 100.100.100.100/32, dan pisahkan beberapa blok dengan koma. Jika Anda memilih Reference address book, Anda harus terlebih dahulu mengelola buku alamat Anda di Access Control. Pengaturan ini berlaku untuk semua VPC dalam instans CEN yang sama.
Topik terkait
Setelah Anda mengaktifkan Basic Protection, Anda dapat melihat lalu lintas anomali antara internet dan VPC Anda, serta antar-VPC, yang diblokir oleh Cloud Firewall di halaman Intrusion Prevention.
Setelah Anda mengaktifkan Cloud Firewall, Anda dapat melihat kerentanan yang dapat dieksploitasi melalui jaringan di halaman Vulnerability Prevention. Kerentanan ini secara otomatis terdeteksi oleh Security Center dan disinkronkan ke Cloud Firewall. Halaman ini juga menunjukkan kemampuan pencegahan serangan Cloud Firewall.
Setelah Anda mengaktifkan Cloud Firewall, Anda dapat melihat detail aktivitas intrusi yang terdeteksi oleh mesin ancaman di halaman Breach Detection.
FAQ: