Elastic Compute Service:Praktik Terbaik untuk Keamanan Instans ECS

Tren keamanan cloud

Ancaman keamanan siber

Migrasi ke arsitektur berbasis cloud memunculkan tantangan keamanan baru. Satu operasi yang tidak disengaja saja dapat mengekspos aplikasi ke Internet atau mengungkap kunci. Oleh karena itu, keamanan dan kepatuhan sangat penting dalam perjalanan cloud Anda.

Bersiap melindungi aset informasi cloud

Lindungi aset informasi cloud

Keamanan cloud memanfaatkan kebijakan, kontrol, dan teknologi untuk melindungi data, infrastruktur, dan aplikasi dari ancaman eksternal maupun internal. Untuk memastikan kepatuhan, kembangkan aplikasi berbasis cloud dengan menerapkan prinsip keamanan sejak awal.

Lindungi akun Alibaba Cloud

Aktifkan MFA untuk akun

Aktifkan MFA untuk akun Alibaba Cloud Anda. MFA memerlukan kode keamanan selain username dan password, yang dihasilkan secara dinamis oleh perangkat MFA.

Gunakan RAM user dengan kebijakan hak istimewa minimal

Gunakan instance RAM role alih-alih pasangan AccessKey untuk memanggil operasi API

Aplikasi yang diterapkan pada instans ECS biasanya mengakses API Alibaba Cloud lain menggunakan pasangan AccessKey. Namun, menyimpan pasangan AccessKey pada instans membawa risiko keamanan seperti kebocoran dan kesulitan pemeliharaan. Instance RAM role mengatasi risiko ini dengan menggunakan RAM untuk kontrol izin detail halus tanpa mengekspos pasangan AccessKey.

Sambungkan Peran RAM Instans ke Instance ECS dan gunakan kredensial sementara Layanan Token Keamanan (STS) untuk mengakses API Alibaba Cloud lainnya. Setelah menyambungkan peran tersebut, akses metadata instans dalam mode Penguatan Keamanan. Kredensial sementara STS diperbarui secara berkala. Lihat Peran RAM Instans.

Cegah kebocoran pasangan AccessKey

Pasangan AccessKey adalah kredensial API dan harus dijaga kerahasiaannya. Jangan mengeksposnya ke saluran eksternal seperti GitHub. Jika pasangan AccessKey Anda terungkap, resource Anda berisiko.

Saran keamanan untuk mengelola akun dan password

Kelola aset informasi secara massal

Kelola dan audit resource cloud secara massal untuk mencegah aset tidak terlindungi akibat salah konfigurasi. Terapkan penyebaran seragam dan konvensi penamaan konsisten pada instans dan security group, serta lakukan pemeriksaan berkala terhadap resource yang tidak sesuai. Manfaatkan tag untuk manajemen massal, Cloud Assistant untuk operasi dan pemeliharaan (O&M) otomatis, serta Cloud Config untuk audit kepatuhan.

Gunakan tag untuk mengelola resource secara massal

• Gunakan tag untuk mengidentifikasi, mengkategorikan, dan menemukan resource cloud secara massal. Dalam insiden keamanan, tag membantu mengidentifikasi cakupan dan tingkat keparahan dengan cepat.

• Konfigurasikan kebijakan keamanan berdasarkan tag spesifik untuk resource seperti security group secara sekaligus.

Lihat Tag.

Gunakan Cloud Assistant untuk mengotomatiskan O&M pada saluran resource

Gunakan Cloud Config untuk melakukan audit kepatuhan pada resource

Cloud Config mengevaluasi dan memantau resource cloud untuk memastikan kepatuhan. Layanan ini mengumpulkan resource lintas wilayah, mencatat perubahan konfigurasi dalam garis waktu, dan menghasilkan peringatan untuk konfigurasi yang tidak sesuai. Lihat Apa itu Cloud Config?

Konfigurasikan keamanan saat membuat instans

Jalankan bisnis yang memerlukan keamanan tinggi pada instans yang ditingkatkan keamanannya

Gunakan gambar aman

• Gunakan gambar publik dan aktifkan penguatan keamanan untuk gambar tersebut.

  • Gunakan gambar publik yang disediakan oleh Alibaba Cloud.

  • Aktifkan fitur penguatan keamanan gratis untuk gambar publik guna memperoleh kemampuan seperti deteksi webshell, pemeriksaan konfigurasi keamanan, dan peringatan login tidak biasa.

  

• Gunakan gambar kustom terenkripsi.

  Enkripsi gambar kustom menggunakan algoritma AES-256 untuk mencegah kebocoran data. Buat disk terenkripsi terlebih dahulu, lalu buat gambar kustom terenkripsi berdasarkan disk tersebut. Anda juga dapat mengenkripsi salinan gambar melalui fitur Copy and Encrypt. Untuk gambar terenkripsi yang dibagikan, gunakan kunci BYOK terpisah guna mencegah kebocoran kunci. Lihat Salin gambar kustom.

Enkripsi data pada disk menggunakan KMS

Gunakan snapshot untuk tujuan pemulihan bencana

• Gunakan snapshot untuk pencadangan data

  Snapshot merupakan fondasi pemulihan bencana dan membantu meminimalkan kehilangan data akibat kegagalan sistem, operasi tidak sengaja, atau insiden keamanan. Buat snapshot sesuai kebutuhan Anda. Lihat Buat snapshot secara manual.

  Buat snapshot otomatis setiap hari dan simpan setidaknya selama tujuh hari untuk meningkatkan ketahanan terhadap bencana dan meminimalkan potensi kehilangan data.

  

• Gunakan snapshot terenkripsi

  ECS menggunakan enkripsi AES-256 untuk snapshot guna mencegah kebocoran data. Buat disk terenkripsi terlebih dahulu, lalu buat snapshot terenkripsi berdasarkan disk tersebut.

Akses metadata instans dalam mode penguatan keamanan

Metadata instans ECS mencakup informasi tentang instans di Alibaba Cloud. Anda dapat melihat dan menggunakan metadata instans yang sedang berjalan untuk mengonfigurasi atau mengelolanya. Lihat Metadata instans.

Isolasi dan amankan resource jaringan

VPC mengabstraksi jaringan fisik menjadi jaringan virtual aman yang terisolasi pada lapisan tautan data. VPC sepenuhnya terisolasi dan hanya dapat diakses melalui alamat IP elastis (EIP) atau alamat IP NAT. Anda dapat mengonfigurasi rentang alamat IP, blok CIDR, tabel rute, dan gerbang dalam setiap VPC. Hubungkan pusat data lokal ke VPC menggunakan VPN Gateway, Express Connect, atau Smart Access Gateway (SAG). Untuk menghubungkan jaringan lintas wilayah secara global, gunakan Cloud Enterprise Network (CEN).

Jaringan rentan terhadap serangan siber. Di Alibaba Cloud, kontrol akses ke VPC dilakukan melalui security group, ACL jaringan, kebijakan routing, atau sirkuit Express Connect. Selain itu, konfigurasikan Cloud Firewall, WAF, dan Anti-DDoS untuk perlindungan terhadap ancaman eksternal.

Ikuti saran keamanan untuk mengisolasi resource jaringan

Bangun lingkungan jaringan yang aman

• Konfigurasikan security group dengan tepat untuk mengisolasi jaringan dan mengurangi permukaan serangan.

  Security group mengontrol akses jaringan ke dan dari instans ECS. Konfigurasikan aturan untuk memfilter lalu lintas berdasarkan port dan alamat IP guna mengurangi permukaan serangan.

  Misalnya, port 22 adalah port SSH default pada instans Linux. Membukanya menimbulkan risiko keamanan. Konfigurasikan aturan untuk hanya mengizinkan alamat IP tertentu mengakses port 22, atau gunakan VPN untuk mengenkripsi data login.

  Saran	Deskripsi	Referensi
  Prinsip hak istimewa minimal	Security group harus berfungsi seperti daftar putih. Buka hanya port yang diperlukan dan alokasikan hanya alamat IP publik yang diperlukan. Gunakan VPN atau bastion host untuk troubleshooting. Konfigurasi yang salah dapat mengekspos port atau alamat IP ke Internet. Buka hanya port yang diperlukan oleh bisnis dalam security group untuk lalu lintas Internet dan jaringan internal. Untuk port layanan berisiko tinggi, izinkan akses hanya dari alamat IP tertentu. Untuk backend manajemen layanan HTTP, izinkan akses hanya dari alamat IP tertentu dan aktifkan WAF untuk nama domain.	Panduan dan kasus penggunaan
  Jangan tetapkan 0.0.0.0/0 sebagai objek otorisasi dalam aturan security group Anda.	Mengizinkan semua akses inbound adalah kesalahan umum. 0.0.0.0/0 berarti semua alamat IP. Aturan dengan objek otorisasi ini membuka semua port untuk akses eksternal. Tolak akses melalui semua port secara default, lalu izinkan hanya port yang diperlukan seperti 80, 8080, dan 443.	Tambahkan aturan security group
  Nonaktifkan aturan security group inbound yang tidak lagi diperlukan.	Jika aturan mencakup 0.0.0.0/0, tinjau port yang diekspos aplikasi Anda. Untuk port yang seharusnya tidak menyediakan layanan eksternal, tambahkan aturan Deny. Misalnya, jika MySQL berjalan di port 3306, tambahkan aturan Deny dengan prioritas terendah (100).	Tambahkan aturan security group
  Gunakan security group sebagai objek otorisasi dalam aturan security group.	Tambahkan aturan berdasarkan prinsip hak istimewa minimal. Lapisan aplikasi berbeda harus menggunakan security group berbeda dengan aturan inbound dan outbound yang sesuai. Untuk aplikasi terdistribusi dengan security group yang tidak saling dapat diakses, tambahkan aturan yang mereferensikan security group (alih-alih alamat IP atau blok CIDR) sebagai objek otorisasi untuk mengizinkan akses timbal balik. Misalnya, buat sg-web untuk lapisan web dan sg-database untuk lapisan database. Di sg-database, tambahkan aturan yang mereferensikan sg-web untuk mengizinkan akses melalui port 3306.	Tambahkan aturan security group
  Konfigurasikan nama dan tag yang sesuai untuk security group.	Nama dan deskripsi yang jelas membantu mengidentifikasi security group. Tambahkan tag ke security group melalui Konsol ECS atau API untuk pencarian dan manajemen yang mudah.	Ubah security group Tag
  Tambahkan instans ECS yang memerlukan akses timbal balik ke security group yang sama.	Setiap instans ECS dapat menjadi anggota hingga lima security group. Instans dalam security group yang sama berkomunikasi melalui jaringan internal. Jika Anda memiliki beberapa security group, buat grup baru dan tambahkan instans yang memerlukan komunikasi jaringan internal. Jangan tambahkan semua instans ke security group yang sama. Untuk aplikasi terdistribusi, setiap instans memiliki peran berbeda dan memerlukan aturan inbound dan outbound spesifik.	Asosiasikan security group dengan instans (ENI primer)
  Isolasi instans dalam security group.	Security group bertindak sebagai firewall virtual dengan Stateful Packet Inspection (SPI). Instans dalam security group yang sama berbagi wilayah dan persyaratan keamanan yang sama. Alibaba Cloud menyempurnakan kebijakan kontrol akses internal untuk mengisolasi instans dalam security group.	Security group
  Gunakan aturan quintuple security group.	Security group mengontrol akses jaringan ke instans ECS dan menyediakan isolasi keamanan logis. Aturan quintuple memungkinkan kontrol akses tepat berdasarkan IP sumber, port sumber, IP tujuan, port tujuan, dan protokol lapisan transport.	Aturan quintuple security group
  Tambahkan instans ECS yang menyediakan layanan menghadap Internet dan yang menyediakan layanan menghadap jaringan internal ke security group berbeda.	Aplikasi pada instans ECS mungkin dapat diakses Internet saat instans mengekspos port (seperti 80 dan 443) atau menggunakan aturan pengalihan port (seperti pengalihan port NAT atau pengalihan berbasis EIP). Terapkan aturan security group paling ketat. Tolak semua protokol dan port secara default, lalu izinkan hanya port yang diperlukan oleh layanan eksternal seperti 80 dan 443. Instans yang menghadap Internet dalam security group yang sama harus memiliki tanggung jawab yang jelas. Terapkan layanan backend seperti MySQL dan Redis pada instans tanpa akses Internet, lalu gunakan aturan security group untuk mengizinkan akses dari security group tertentu.	Tambahkan aturan security group

• Konfigurasikan domain keamanan untuk mengisolasi layanan dengan tingkat keamanan berbeda dalam organisasi Anda.

  Bangun jaringan pribadi dengan VPC untuk meng-host server dengan tingkat keamanan berbeda secara terpisah. Buat VPC, tetapkan blok CIDR, konfigurasi tabel rute dan gerbang, serta simpan data penting dalam VPC yang terisolasi secara logis ini. Gunakan EIP atau jump server untuk operasi dan pemeliharaan (O&M) harian. Lihat Buat dan kelola VPC.

• Gunakan jump server atau bastion host untuk melindungi dari intrusi internal dan eksternal.

  Jump server memiliki izin luas. Gunakan bastion host sebagai gantinya untuk mencatat dan mengaudit semua operasi O&M, mendeteksi anomali, dan mengaitkan tindakan ke personel tertentu.

  Tetapkan jump server ke vSwitch khusus dalam VPC dan asosiasikan EIP atau tabel pengalihan port NAT yang sesuai. Buat security group khusus (SG_BRIDGE) dan buka hanya port yang diperlukan (TCP 22 untuk Linux, RDP 3389 untuk Windows). Batasi akses inbound ke alamat IP publik organisasi Anda tertentu. Untuk memberikan akses jump server ke security group lain (SG_CURRENT), tambahkan aturan yang mengizinkan akses dari SG_BRIDGE melalui protokol dan port tertentu. Untuk SSH, gunakan pasangan kunci alih-alih password. Lihat Ikhtisar pasangan kunci SSH.

• Tetapkan alamat IP publik dengan tepat untuk mengurangi permukaan serangan yang terekspos Internet.

  Alokasi IP publik yang tepat mengurangi permukaan serangan. Untuk instans VPC, hubungkan instans yang memerlukan akses Internet ke beberapa vSwitch yang ditentukan untuk memudahkan audit.

  • Jangan tetapkan alamat IP publik ke instans yang tidak menyediakan layanan Internet. Untuk beberapa instans yang menghadap Internet, gunakan SLB untuk mendistribusikan lalu lintas. Lihat Ikhtisar SLB.

  • Untuk instans yang memerlukan akses Internet outbound tetapi tidak memiliki IP publik, gunakan gateway NAT. Konfigurasikan entri SNAT untuk blok CIDR atau subnet tertentu untuk menghindari mengekspos layanan ke Internet. Lihat Apa itu VPN Gateway?

Gunakan layanan keamanan untuk membangun sistem pertahanan keamanan

Gunakan Anti-DDoS Origin Basic (gratis), Anti-DDoS Pro, dan Anti-DDoS Premium untuk meredam serangan DDoS

Serangan DDoS membanjiri target dengan lalu lintas palsu dari berbagai sistem yang dikompromikan. Alibaba Cloud Security Center melindungi terhadap serangan Lapisan 3 hingga Lapisan 7, termasuk serangan banjir SYN, UDP, ACK, ICMP, DNS, dan HTTP. Anti-DDoS Origin Basic menyediakan mitigasi DDoS hingga 5 Gbit/s secara gratis.

Anti-DDoS Origin Basic diaktifkan secara default pada instans ECS dan menjaga akses normal selama serangan DDoS tanpa perlu membeli perangkat pembersihan. Setelah membuat instans, tetapkan ambang batas pembersihan lalu lintas-nya.

Gunakan Security Center Basic gratis untuk melindungi dari eksploitasi kerentanan sistem

Security Center adalah sistem manajemen keamanan terpusat yang mengidentifikasi, menganalisis, dan memberikan peringatan ancaman secara real-time. Fitur-fiturnya mencakup anti-ransomware, antivirus, pencegahan perubahan web, dan pemeriksaan kepatuhan.

Security Center Basic tersedia secara default dan memindai login tidak biasa, kerentanan, serta risiko konfigurasi layanan cloud. Untuk fitur lanjutan seperti deteksi ancaman, perbaikan kerentanan, dan penghapusan virus, beli edisi berbayar melalui Konsol Security Center. Lihat Security Center Basic.

Gunakan WAF untuk melindungi dari eksploitasi kerentanan sistem

WAF melindungi aplikasi web dari serangan OWASP umum dan serangan banjir HTTP, termasuk injeksi SQL, serangan XSS, webshell, trojan, serta akses tidak sah. WAF memblokir lalu lintas berbahaya untuk mencegah kebocoran data serta memastikan keamanan dan ketersediaan situs web. Lihat Memulai.

Lindungi aplikasi dalam sistem operasi tamu instans

Konfigurasikan pengaturan keamanan untuk memastikan login aman ke instans ECS

Secara default, akun non-root dapat login ke instans ECS. Berikan izin administratif menggunakan su atau sudo. Akun root tidak dapat login menggunakan file kunci PEM secara default. Untuk instans Linux, konfigurasikan agar hanya mengizinkan login berbasis pasangan kunci RSA. Untuk instans Windows, gunakan kata sandi kompleks dengan minimal delapan karakter yang mencakup karakter khusus.

Enkripsi data dalam transit

Konfigurasikan security group atau firewall agar hanya mengizinkan komunikasi melalui port yang mengenkripsi data. Gunakan protokol enkripsi seperti TLS 1.2 atau versi yang lebih baru untuk mengenkripsi data sensitif saat transit antara klien dan instans ECS.

Monitor dan audit anomali log

Laporan M-Trends 2018 oleh FireEye menemukan bahwa waktu tinggal median global—yakni periode dari serangan hingga deteksi—adalah 101 hari, sedangkan di Asia Pasifik mencapai 498 hari. Data log yang andal dan layanan audit sangat penting untuk memperpendek waktu tinggal tersebut.