Cloud Firewall membantu Anda mengisolasi dan melindungi layanan di cloud, memastikan keamanan layanan serta memenuhi persyaratan kepatuhan. Topik ini menjelaskan cara menggunakan Cloud Firewall untuk melindungi layanan Anda.
Ikhtisar pemilihan
Setelah adopsi cloud, domain keamanan perusahaan sering kali dibiarkan dalam konfigurasi default karena faktor seperti jenis bisnis, skala jaringan, dan manajemen layanan. Seiring pertumbuhan bisnis, hal ini dapat menyebabkan arsitektur jaringan yang tidak teratur—misalnya, port yang tidak perlu terpapar ke Internet atau layanan internal memiliki hak akses berlebihan. Jika suatu layanan diserang, risiko keamanan yang signifikan dapat muncul. Oleh karena itu, perusahaan perlu merancang domain keamanannya di cloud secara proaktif.
Domain keamanan jaringan ibarat sebuah hotel tempat tamu yang berbeda menginap di lantai dan kamar yang berbeda tanpa saling mengganggu. Di lingkungan TI, server database dan server web yang berinteraksi langsung dengan pelanggan memiliki tingkat keamanan berbeda. Demikian pula, server di lingkungan pengujian memiliki tingkat keamanan yang berbeda dibandingkan server di lingkungan produksi. Oleh karena itu, Anda harus mengelompokkan aset bisnis ke dalam domain keamanan berdasarkan fungsi dan pola komunikasinya.
Cloud Firewall untuk isolasi domain keamanan
Skenario 1: Lindungi lalu lintas Internet masuk
Prinsip: Pastikan fleksibilitas, skalabilitas elastis, dan keamanan.
Rekomendasi konfigurasi:
Konfigurasikan Firewall internet untuk mengelola lalu lintas Internet masuk.
Opsi: Konfigurasikan virtual private cloud (VPC) sebagai zona demiliterisasi (DMZ). Gunakan VPC tersebut bersama Alamat IP Elastis (EIP), Server Load Balancer (SLB), dan alamat IP publik dari instance Elastic Compute Service (ECS) untuk menyediakan koneksi Internet masuk.
Skenario 2: Lindungi lalu lintas Internet keluar
Prinsip: Pastikan fleksibilitas, skalabilitas elastis, dan keamanan.
Rekomendasi konfigurasi:
Konfigurasikan Firewall internet dan Firewall NAT untuk mengelola lalu lintas keluar ke Internet dan dari jaringan pribadi.
Opsi: Konfigurasikan VPC sebagai DMZ atau gunakan VPC terpisah untuk layanan berbeda. Gunakan VPC tersebut bersama EIP dan Gateway NAT untuk menyediakan koneksi Internet keluar.
Skenario 3: Lindungi lalu lintas timur-barat di cloud
Prinsip: Isolasi lingkungan dan pastikan konektivitas serta keamanan yang diperlukan.
Rekomendasi konfigurasi:
Konfigurasikan Cloud Enterprise Network (CEN). Kami merekomendasikan penggunaan Router transit Edisi Perusahaan. Sambungkan VPC ke router transit untuk menghubungkan instance jaringan di cloud. Anda juga dapat menyambungkan Virtual Border Router (VBR) ke router transit untuk menerapkan interkoneksi lintas cloud.
Konfigurasikan Firewall VPC untuk mengamankan lalu lintas layanan antar-VPC atau antar-cloud. Ini mencakup kontrol akses Lapisan 4 hingga Lapisan 7, perlindungan terhadap serangan pergerakan lateral, dan pelacakan log.
Konfigurasikan firewall internal untuk menerapkan mikrosegmentasi di dalam VPC.
Skenario 4: Lindungi lalu lintas antara aset cloud dan pusat data lokal
Prinsip: Aktifkan komunikasi antara aset cloud dan pusat data lokal serta pastikan keamanannya.
Rekomendasi konfigurasi:
Konfigurasikan CEN atau Express Connect. Hubungkan pusat data lokal Anda ke CEN atau Express Connect melalui VBR untuk mengaktifkan komunikasi dengan kelompok bisnis Anda di VPC.
Konfigurasikan Firewall VPC untuk memantau lalu lintas yang tidak biasa antara pusat data lokal dan kelompok bisnis di VPC Anda. Anda juga dapat menerapkan kebijakan kontrol akses detail halus Lapisan 4 hingga Lapisan 7, melindungi dari serangan pergerakan lateral, serta melakukan audit log.
Struktur jaringan untuk isolasi domain keamanan menggunakan Cloud Firewall
Kelompok Besar
Untuk perusahaan besar, domain keamanan jaringan produksi dibagi menjadi domain keamanan grup dan domain keamanan anak perusahaan. Domain keamanan grup selanjutnya dibagi menjadi zona produksi yang menghadap Internet, zona produksi akses internal, dan DMZ produksi. Jaringan produksi internal kemudian dibagi lagi menjadi domain keamanan bisnis umum, domain keamanan bisnis inti, dan domain keamanan database berdasarkan jenis bisnis.
Perusahaan kecil
Untuk perusahaan kecil, domain keamanan dibagi menjadi domain keamanan bisnis umum, domain keamanan bisnis inti, domain keamanan data, dan domain keamanan DMA (untuk sistem email dan situs portal) berdasarkan jenis bisnis, modul fungsional, dan hubungan komunikasi jaringan.
Pilih edisi: Perbandingan multidimensi
Sebelum memilih edisi Cloud Firewall, Anda harus memahami ruang lingkup perlindungan Cloud Firewall untuk memastikannya sesuai dengan kebutuhan bisnis Anda. Untuk informasi lebih lanjut, lihat Ruang lingkup perlindungan.
Cloud Firewall menawarkan dua metode penagihan: bayar sesuai penggunaan (yang mencakup paket hemat bayar sesuai pemakaian) dan langganan. Metode langganan mencakup tiga edisi: Edisi Premium, Edisi Perusahaan, dan Edisi Ultimate. Setiap edisi menyediakan fitur, kuota aset, dan spesifikasi ekstensi bandwidth yang berbeda.
Anda dapat menggunakan tabel perbandingan berikut untuk memilih edisi yang sesuai. Untuk informasi lebih lanjut, lihat Fitur.