Aktifkan mode penguatan keamanan untuk akses metadata guna mencegah serangan SSRF, amankan metadata instans dengan autentikasi kredensial, dan tegakkan kepatuhan terhadap kebijakan RAM. - Elastic Compute Service

Cegah serangan SSRF dengan mewajibkan autentikasi berbasis token untuk akses metadata instans.

Risiko keamanan

Dalam mode Normal, permintaan metadata instans diautentikasi berdasarkan alamat IP sumber. Penyerang dapat memalsukan alamat tersebut untuk melewati autentikasi, sehingga menyebabkan serangan SSRF yang mengekspos metadata sensitif. Mode Enhanced mewajibkan kredensial akses berlaku terbatas waktu yang hanya dihasilkan dan valid di dalam instans ECS tertentu. Karena kredensial tersebut tidak dapat ditebak atau dipalsukan, mode Enhanced mencegah sebagian besar serangan SSRF.

Praktik terbaik

Konsol

Pada halaman pembelian instans, pilih Security Hardening Mode alih-alih Normal Mode and Security Hardening Mode. Hanya beberapa versi gambar publik terbaru yang mendukung mode ini.

Penting

Setelah Anda menerapkan mode enhanced untuk metadata instans, perbarui seluruh kode aplikasi yang mengakses metadata agar menggunakan autentikasi berbasis token.

API

Saat memanggil operasi API RunInstances atau CreateInstance, atur HttpTokens ke required dan HttpEndpoint ke enabled untuk menerapkan mode penguatan keamanan.

Kemampuan kepatuhan

Blok: Tolak pembuatan instans tanpa mode penguatan keamanan

Gunakan kebijakan RAM di tingkat organisasi atau akun untuk menolak pembuatan instans tanpa mode penguatan keamanan.

Untuk pengguna perusahaan:
1. Masuk ke Konsol Resource Directory dengan Akun Alibaba Cloud. Di panel navigasi kiri, klik Control Policies. Buat kebijakan kustom dengan konten JSON berikut.
  Kebijakan ini menolak pembuatan instans atau perubahan mode metadata yang tidak menggunakan mode penguatan keamanan.
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance",
        "ecs:ModifyInstanceMetadataOptions"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:SecurityHardeningMode": ["false"]
        }
      }
    }
  ]
}
```
2. Di direktori sumber daya, pilih sebuah node dan sambungkan kebijakan tersebut. Kebijakan ini memblokir operasi yang ditentukan untuk semua akun di bawah node tersebut.
Untuk pengguna individu:
1. Masuk ke Konsol Resource Access Management (RAM) dengan Akun Alibaba Cloud. Di panel navigasi kiri, klik Permission Policy. Buat kebijakan kustom dengan konten JSON yang sama.
2. Sambungkan kebijakan tersebut ke RAM user, RAM user group, atau RAM role.

Perbaiki: Perbaiki instans yang sudah ada

Terapkan mode enhanced untuk instans yang sudah ada.