Cloud Firewall Alibaba Cloud adalah firewall berbasis Software as a Service (SaaS) yang menyediakan isolasi dan kontrol keamanan terpadu untuk aset cloud Anda di batas internet, VPC, dan NAT. Produk ini merupakan lini pertama pertahanan jaringan bagi bisnis cloud Anda.
Kasus penggunaan
Cloud Firewall cocok untuk skenario berikut:
Keamanan tingkat perusahaan untuk pusat data cloud
Ideal untuk perusahaan yang melakukan migrasi ke cloud atau membangun pusat data berskala besar. Cloud Firewall menyediakan kontrol lalu lintas terpadu dan perlindungan ancaman di seluruh batas internet, NAT, VPC, dan host. Produk ini mengurangi permukaan serangan publik, memblokir serangan pergerakan lateral, serta mencegah kebocoran data.
Perlindungan lanjutan untuk cloud hibrida dan DMZ berbasis cloud
Cocok untuk skenario di mana layanan diterapkan baik di pusat data lokal maupun cloud, atau ketika DMZ dimigrasikan ke cloud. Cloud Firewall melindungi lalu lintas utara-selatan di DMZ dan lalu lintas timur-barat antara pusat data dan VPC, sehingga menjamin komunikasi aman dalam lingkungan cloud hibrida.
Manajemen keamanan terpadu untuk beberapa akun
Ideal untuk perusahaan dengan sumber daya yang tersebar di beberapa Akun Alibaba Cloud. Cloud Firewall terintegrasi dengan Resource Directory untuk memusatkan manajemen aset, konfigurasi kebijakan, analisis lalu lintas, dan audit log dalam satu Konsol, sehingga mengurangi biaya operasional keamanan.
Keamanan untuk skenario berisiko tinggi dan latihan adversarial
Cocok untuk skenario berisiko tinggi seperti acara besar dan latihan keamanan. Cloud Firewall mendukung fitur seperti pemblokiran batch alamat IP atau nama domain, pelacakan serangan, dan pembenahan virtual untuk kerentanan nol hari guna memenuhi persyaratan keamanan khusus.
Mengapa memilih Cloud Firewall
Dibandingkan firewall perangkat keras tradisional, Cloud Firewall menawarkan keunggulan inti berikut:
Aktivasi instan, siap digunakan
Anda dapat mengaktifkan Firewall internet hanya dengan satu klik tanpa mengubah arsitektur jaringan Anda, sehingga secara signifikan mengurangi biaya penerapan dan konfigurasi.
Kontrol batas terpadu, perlindungan terintegrasi
Cloud Firewall menyediakan kontrol lalu lintas terpadu untuk batas internet, NAT, VPC, dan host, memungkinkan manajemen terintegrasi atas kontrol akses, deteksi ancaman, dan audit log untuk lalu lintas utara-selatan maupun timur-barat.
Pertahanan cerdas, intersepsi ancaman proaktif
Dengan mesin Sistem Pencegahan Intrusi (IPS) bawaan dan intelijen ancaman yang luas, Cloud Firewall mendeteksi dan memblokir lalu lintas berbahaya secara real time, termasuk eksploitasi kerentanan, serangan brute-force, program penambangan kripto, dan backdoor. Produk ini juga mendukung pembenahan virtual untuk melindungi host rentan sebelum patch resmi dirilis.
Elastis dan stabil, penskalaan sesuai kebutuhan
Kapasitas pemrosesan lalu lintas Cloud Firewall dapat diskalakan secara mulus sesuai kebutuhan bisnis Anda, menjadikannya ideal untuk skenario lalu lintas puncak seperti promosi, pengujian, atau latihan keamanan. Selama periode di luar puncak, kapasitas dapat diskalakan turun tanpa mengganggu layanan Anda dan secara efektif mengurangi biaya. Mekanisme ketersediaan tinggi bawaan mendukung pemulihan bencana dua-Zona Ketersediaan (AZ) untuk kluster firewall berbeda, sehingga menjamin kelangsungan bisnis.
Fitur inti
Aktifkan perlindungan firewall
Cloud Firewall menyediakan kontrol lalu lintas terpadu untuk batas Internet, batas NAT, dan batas VPC. Setelah diaktifkan, produk ini menerapkan kontrol akses dan deteksi ancaman terhadap lalu lintas utara-selatan dan timur-barat untuk aset cloud Anda.
Internet firewall: Melindungi lalu lintas masuk dari internet publik. Produk ini mendukung kebijakan berbasis alamat IP, port, protokol, dan nama domain untuk memblokir pemindaian dan serangan yang menargetkan aset publik seperti instans ECS dan Server Load Balancer (SLB).
NAT firewall: Mengelola lalu lintas dari aset pribadi yang mengakses internet melalui Gateway NAT. Produk ini mencegah host internal terhubung ke server C2 atau kebocoran data, serta mendukung inspeksi mendalam dengan IPS.
VPC firewall: Mengelola lalu lintas antar-VPC dan antar-subnet dalam satu VPC. Produk ini mencegah serangan pergerakan lateral dan mendukung kontrol akses berbasis nama domain DNS untuk mencapai mikro-segmentasi jaringan.
Analisis lalu lintas
Fitur ini menyediakan visualisasi lalu lintas untuk membantu Anda mengidentifikasi perilaku tidak normal dan potensi risiko.
Koneksi Keluar: Memantau koneksi dari host internal ke internet publik. Produk ini mengidentifikasi perilaku seperti penambangan kripto, kendali jarak jauh, dan kebocoran data, serta mendukung pelacakan berdasarkan IP tujuan, port, protokol, dan waktu.
Eksposur Publik: Secara otomatis menemukan aset dan layanan yang dapat diakses publik, menilai risiko eksposur, serta membantu Anda mengurangi permukaan serangan.
Lalu Lintas Antar-VPC: Menampilkan topologi lalu lintas dan hubungan akses antar-VPC serta di dalam VPC untuk membantu Anda mengoptimalkan arsitektur jaringan dan kebijakan keamanan.
Konfigurasi perlindungan
Bagian ini memungkinkan Anda mengonfigurasi kebijakan kontrol akses dan pencegahan intrusi.
Perlindungan IPS: Menggunakan intelijen ancaman dan mesin pendeteksian serangan untuk mencegat serangan seperti eksploitasi kerentanan, unggahan webshell, dan Injeksi SQL. Produk ini juga mendukung pembenahan virtual untuk perlindungan sebelum rilis patch resmi.
Kebijakan Kontrol Akses: Mendukung kebijakan berbasis 5-tupel (IP sumber/tujuan, port, protokol), nama domain, jenis aplikasi, dan lokasi geografis. Templat kebijakan dan operasi batch juga didukung.
Deteksi dan respons
Fitur ini menyediakan peringatan event keamanan, audit log, dan fungsi analisis.
Event Keamanan: Mesin perlindungan IPS mengagregasi deteksi menjadi tiga jenis peringatan berikut:
Pencegahan Intrusi: Mencatat dan mencegat upaya serangan eksternal dan lalu lintas berbahaya.
Perlindungan Kerentanan: Memantau upaya eksploitasi terhadap kerentanan yang diketahui.
Deteksi Host Terkompromi: Mengidentifikasi koneksi keluar tidak normal atau pergerakan lateral dari host internal yang telah dikompromi.
Audit log: Menyediakan penyimpanan log gratis selama 7 hari untuk memenuhi kebutuhan dasar kepatuhan dan forensik.
Analisis log: Mendukung perpanjangan durasi penyimpanan log (seperti durasi penyimpanan 180 hari yang dipersyaratkan oleh kepatuhan perlindungan terklasifikasi) serta menyediakan kemampuan pencarian multi-dimensi dan analisis statistik.
Edisi dan penagihan
Cloud Firewall tersedia dalam empat edisi: Pay-as-you-go, Premium Edition, Enterprise Edition, dan Ultimate Edition. Pilih edisi yang paling sesuai dengan kebutuhan bisnis Anda.
Tabel ini menyoroti perbedaan inti antar-edisi. Untuk perbandingan fitur lengkap, lihat Bandingkan dan pilih edisi.
Untuk informasi harga detail, lihat Langganan (Billing 2.0) (untuk Edisi Premium, Enterprise, dan Ultimate) dan Pay-as-you-go (Billing 2.0) (untuk edisi Pay-as-you-go).
Edisi | Pay-as-you-go | Premium Edition | Enterprise Edition | Ultimate Edition |
Model penagihan | pay-as-you-go | langganan | ||
Dukungan fitur | Perlindungan dasar | Perlindungan dasar | Perlindungan lengkap | Perlindungan lengkap |
Skenario yang Direkomendasikan |
|
|
| |
Memulai
Setelah Anda mengaktifkan Cloud Firewall, ikuti langkah-langkah berikut untuk mengonfigurasinya:
Aktifkan perlindungan untuk aset Anda
Aktifkan Internet firewall untuk aset publik Anda (wajib). Untuk informasi lebih lanjut, lihat Internet firewall. Berdasarkan kebutuhan bisnis Anda, aktifkan perlindungan untuk gateway NAT publik dan aset VPC Anda. Untuk informasi lebih lanjut, lihat NAT firewall dan VPC firewall.
Tinjau konfigurasi IPS
Mesin ancaman IPS diaktifkan secara default untuk perlindungan umum. Anda dapat menyesuaikan konfigurasi tersebut nanti berdasarkan kebutuhan bisnis Anda. Untuk informasi lebih lanjut, lihat Konfigurasi IPS.
Konfigurasi kebijakan kontrol akses
Kebijakan kontrol akses default bersifat permisif dan tidak memblokir lalu lintas berbahaya. Anda harus mengonfigurasi kebijakan berdasarkan kebutuhan bisnis Anda agar tidak memblokir lalu lintas sah. Untuk informasi lebih lanjut, lihat Kebijakan kontrol akses. Jika Anda tidak yakin kebijakan apa yang harus dikonfigurasi, lihat Mengonfigurasi kebijakan kontrol akses.
Analisis lalu lintas dan audit log
Setelah Cloud Firewall berjalan selama beberapa waktu, buka halaman Analisis lalu lintas dan Audit log untuk melihat pola lalu lintas dan event keamanan. Sesuaikan konfigurasi IPS dan kebijakan kontrol akses Anda berdasarkan hasil analisis tersebut. Untuk menyimpan log dalam periode lebih lama, aktifkan dan konfigurasikan fitur analisis log, yang mendukung kueri dan audit log lengkap.
Konfigurasi fitur lanjutan
Selain fungsi dasar, Cloud Firewall menawarkan fitur lanjutan seperti Security Operation Agent, TLS Inspection, Application Control, dan Web Filtering (sebagian dalam beta publik atau undangan saja) untuk memenuhi kebutuhan keamanan dan operasional yang lebih granular.
FAQ
Perbedaan antara WAF, Cloud Firewall, dan Anti-DDoS
Web Application Firewall (WAF): Produk keamanan yang didedikasikan untuk lapisan aplikasi HTTP/HTTPS. WAF melakukan inspeksi mendalam terhadap permintaan web untuk mempertahankan diri dari serangan lapisan aplikasi.
Cloud Firewall (CFW): Produk kontrol akses perimeter jaringan terpadu untuk lingkungan cloud. CFW mengelola lalu lintas dan menyediakan pencegahan intrusi di batas Internet, VPC, dan NAT untuk mencegah intrusi lapisan jaringan dan pergerakan lateral.
Anti-DDoS: Melindungi terhadap serangan penolakan layanan terdistribusi (DDoS) skala besar dengan mengalihkan lalu lintas ke pusat pembersihan lalu lintas yang tersebar global. Anti-DDoS menyaring lalu lintas berbahaya untuk menjaga stabilitas dan ketersediaan layanan selama serangan.
Produk cloud | Web Application Firewall (WAF) | Cloud Firewall (CFW) | Anti-DDoS |
Tingkat perlindungan | Lapisan aplikasi (L7) | Menyediakan perlindungan utama pada Lapisan Jaringan dan Transport (L3-L4) serta mencakup IPS terintegrasi untuk pendeteksian intrusi Lapisan 4-7. | Menyediakan perlindungan utama pada Lapisan Jaringan dan Transport (L3-L4) serta mempertahankan diri dari serangan CC dan Serangan HTTP Flood ber-volume tinggi pada Lapisan Aplikasi (L7). |
Mekanisme inti | Analisis semantik, pencocokan aturan, dan pemodelan perilaku | Kebijakan kontrol akses, inspeksi stateful, dan sistem pencegahan intrusi (IPS) | Pembersihan lalu lintas, penyaringan berbasis signature, dan penskalaan bandwidth |
Serangan yang dapat dipertahankan | Injeksi SQL, XSS, unggahan webshell, serangan banjir HTTP, bot berbahaya, dan penyalahgunaan API | Pemindaian port, serangan brute-force, akses tidak sah, cacing penambangan kripto, dan ancaman lalu lintas timur-barat | Serangan volumetrik L3/L4 seperti Serangan SYN flood dan Banjir UDP, serta serangan lapisan aplikasi L7 seperti banjir HTTP frekuensi tinggi |
Kasus penggunaan | Mempertahankan situs web dan aplikasi dari perusakan, akses berbahaya, scraping bot, dan penyalahgunaan API. | Memberlakukan kebijakan akses terpadu untuk aset cloud di titik masuk dan keluar jaringan publik. Mencegah serangan brute-force pada server dan pergerakan lateral di dalam jaringan internal. | Menjamin kelangsungan layanan dan ketersediaan jaringan selama serangan ber-volume tinggi tanpa kehilangan paket. |
Untuk strategi pertahanan berlapis, kami merekomendasikan arsitektur gabungan Anti-DDoS Pro dan Anti-DDoS Premium, Cloud Firewall, serta WAF.
Integrasi produk dan jalur lalu lintas
Ya. Cloud Firewall dapat diterapkan bersama produk cloud lainnya. Jalur lalu lintas ditunjukkan pada gambar berikut.
Perhitungan jumlah instans
Secara default, pengguna baru menggunakan Billing 2.0. Dalam model ini, langganan Cloud Firewall menyediakan spesifikasi instans serbaguna, yang dapat digunakan untuk membuat firewall batas berbeda. Misalnya, langganan Edisi Premium menyediakan satu spesifikasi instans serbaguna.
Jumlah instans Cloud Firewall yang dikonsumsi dihitung sebagai berikut:
Internet firewall: Diperlukan satu instans untuk setiap wilayah yang dilindungi. Dalam wilayah yang sama, hanya satu spesifikasi instans yang dikonsumsi, terlepas dari jumlah alamat IP publik yang dilindungi atau apakah alamat IP tersebut IPv4 atau IPv6.
NAT firewall: Diperlukan satu instans untuk setiap instans Gateway NAT.
VPC firewall:
Dalam arsitektur Cloud Enterprise Network (CEN) Edisi Perusahaan, diperlukan satu instans untuk setiap Transit Router (TR).
Dalam arsitektur CEN Edisi Dasar, diperlukan satu instans untuk setiap VPC.
Dalam arsitektur koneksi peering VPC, diperlukan satu instans untuk setiap pasangan VPC.
Manajemen Multi-akun: Jika Anda mengaktifkan fitur ini, aset setiap akun anggota akan mengonsumsi spesifikasi instans Cloud Firewall dan dikenai biaya instans terpisah.
Sertifikasi kepatuhan
Cloud Firewall telah disertifikasi ISO 9001, ISO 20000, ISO 22301, ISO 27001, ISO 27017, ISO 27018, ISO 29151, ISO 27701, BS 10012, CSA STAR, dan PCI DSS.
Asal produk
Alibaba Cloud mengembangkan Cloud Firewall sepenuhnya secara internal. Produk ini bukan produk OEM dari vendor pihak ketiga.