Elastic Compute Service:Panduan dan kasus penggunaan security group

Security group guidelines

1. Rencanakan security group

Sebelum mengonfigurasi security group, identifikasi batasan layanan dan persyaratan keamanan Anda, seperti layanan mana yang terpapar ke internet publik dan mana yang dibatasi hanya untuk akses internal.

• Gunakan security group berbeda untuk layanan yang menghadap publik dan layanan internal

  Untuk layanan yang menghadap publik, buka hanya port yang diperlukan dan tutup semua port serta protokol lainnya guna mengurangi attack surface.

  Deploy layanan internal, seperti database dan cache, pada instance ECS tanpa akses internet publik. Anda kemudian dapat memberikan akses internal dengan mengotorisasi security group lain.

• Gunakan security group berbeda untuk aplikasi yang berbeda

  Aplikasi yang berbeda biasanya memerlukan port yang berbeda. Tempatkan mereka dalam security group terpisah untuk mencegah aturan saling mengganggu.

  Misalnya, instance Linux mungkin memerlukan port TCP 22 untuk akses SSH, sedangkan instance Windows mungkin memerlukan port TCP 3389 untuk akses Remote Desktop.

  Bahkan jika instance menggunakan jenis image yang sama, tetapkan mereka ke security group berbeda jika menyediakan layanan berbeda dan tidak perlu berkomunikasi satu sama lain melalui jaringan internal. Praktik ini memfasilitasi decoupling dan perubahan di masa depan.

  Saat merancang aplikasi Anda, Anda dapat menggunakan kombinasi segmen jaringan dan security group untuk menentukan batasan layanan.

• Gunakan security group terpisah untuk lingkungan produksi dan pengujian

  Gunakan security group berbeda untuk lingkungan produksi, pengujian, dan pengembangan agar aturan pengujian tidak memengaruhi layanan produksi.

  Anda juga dapat menetapkan security group berbeda untuk beberapa lingkungan pengujian guna mengurangi interferensi di antara mereka.

• Jangan tetapkan alamat IP publik ke sumber daya yang tidak memerlukan akses publik

  Untuk meminimalkan eksposur publik, prioritaskan koneksi ke instance ECS menggunakan Workbench, Session Manager, atau jump server. Jika sebuah instance tidak memiliki alamat IP publik, Anda dapat menggunakan fitur port forwarding untuk mengakses layanannya. Untuk informasi selengkapnya, lihat Gunakan fitur port forwarding CLI Session Manager untuk mengakses instance tanpa alamat IP publik.

  Dalam aplikasi terdistribusi, jangan tetapkan alamat IP publik ke instance ECS yang tidak menyediakan layanan publik. Jika beberapa server menyediakan layanan publik, kami merekomendasikan Anda menggunakan untuk mendistribusikan traffic dan menghindari single point of failure.

  Jika instance ECS hanya memerlukan akses outbound ke internet, gunakan NAT gateway dan konfigurasikan aturan SNAT. Pendekatan ini mencegah eksposur layanan yang dapat terjadi saat Anda menetapkan alamat IP publik atau elastic IP address. Untuk informasi selengkapnya, lihat Buat dan kelola Entri SNAT.

• Gunakan security group sebagai daftar putih

  Perlakukan security group sebagai daftar putih. Artinya, secara default security group menolak semua akses, dan Anda hanya menambahkan aturan allow untuk port yang diperlukan dan sumber yang diotorisasi. Saat melakukan troubleshooting masalah produksi, jangan sementara menetapkan alamat IP publik atau mengasosiasikan elastic IP address karena hal ini dapat meningkatkan attack surface.

2. Konfigurasikan aturan security group

Saat mengonfigurasi aturan security group, buka hanya port yang dibutuhkan bisnis Anda dan batasi rentang alamat IP sumber sekecil mungkin.

Dalam VPC, satu aturan security group dapat mengontrol akses jaringan publik maupun internal.

• Kebijakan default berbeda antara security group dasar dan advanced

  Baik security group dasar maupun advanced secara default menolak semua lalu lintas inbound. Namun, kebijakan outbound default mereka berbeda: security group dasar mengizinkan semua lalu lintas outbound, sedangkan security group advanced menolaknya.

• Konektivitas internal berbeda di berbagai security group dan tipe security group

  Instance ECS dalam security group berbeda tidak dapat berkomunikasi satu sama lain melalui jaringan internal, meskipun milik akun yang sama. Secara default, instance dapat berkomunikasi dalam security group dasar yang sama tetapi terisolasi dalam security group advanced yang sama.

• Tambahkan aturan security group berdasarkan prinsip least privilege

  Misalnya, saat membuka port 22 pada instance Linux untuk login jarak jauh, izinkan akses hanya dari alamat IP tertentu.

  Peringatan

  Mengotorisasi 0.0.0.0/0 atau ::/0 mengizinkan akses dari semua alamat IP, konfigurasi berisiko tinggi. Gunakan ini hanya untuk layanan yang harus bersifat publik, dan buka hanya port yang diperlukan.

  Konfigurasikan aturan dengan cakupan otorisasi seketat mungkin. Untuk informasi lebih lanjut tentang jenis objek otorisasi yang didukung oleh security group, lihat Aturan security group.

• Gunakan prinsip least privilege untuk mengonfigurasi isolasi intra-group

  Jika instance ECS dalam security group dasar tidak perlu berkomunikasi satu sama lain, ubah kebijakan akses internal grup tersebut agar mengisolasi mereka.

• Pastikan tujuan aturan dalam satu security group konsisten

  Atur aturan ke dalam beberapa security group berdasarkan tujuannya dan asosiasikan instance dengan security group yang relevan. Satu security group dengan terlalu banyak aturan akan meningkatkan kompleksitas manajemen.

• Pilih objek otorisasi dengan hati-hati

  Objek otorisasi untuk aturan security group dapat berupa alamat IP, security group lain, atau Blok CIDR.

  Saat instance dalam security group berbeda perlu berkomunikasi melalui jaringan internal, berikan akses dengan mereferensikan ID security group. Metode ini lebih efisien daripada mengelola alamat IP atau Blok CIDR individual. Misalnya, jika tier web Anda menggunakan security group bernama sg-web dan tier database Anda menggunakan sg-database, Anda dapat menambahkan aturan ke sg-database yang memberikan akses dari sg-web ke port MySQL (3306).

  Untuk akses jaringan internal, kami merekomendasikan Anda mengotorisasi security group sumber alih-alih Blok CIDR.

• Port aplikasi umum

  Banyak aplikasi berkomunikasi menggunakan port layanan standar. Untuk informasi selengkapnya, lihat Port umum.

3. Tinjau dan optimalkan aturan

Saat bisnis Anda berkembang, aturan security group yang ada mungkin menjadi usang. Tinjau dan sesuaikan secara berkala. Sebelum memodifikasi aturan di lingkungan produksi, klon security group tersebut dan verifikasi perubahan di lingkungan pengujian. Setelah memastikan aliran traffic berjalan dengan benar, terapkan perubahan ke lingkungan produksi untuk menghindari gangguan layanan.

Use cases

Kontrol lalu lintas inbound ke instance ECS

Lalu lintas inbound adalah traffic dari sumber eksternal ke instance ECS Anda. Secara default, security group menolak semua lalu lintas inbound, sehingga Anda hanya perlu menambahkan aturan untuk mengizinkan akses. Lihat kasus penggunaan berikut:

• Kasus 1: Izinkan akses publik ke layanan web pada instance ECS

• Kasus 2: Izinkan akses jarak jauh untuk pengguna tertentu ke instance ECS

• Kasus 3: Konfigurasikan kebijakan keamanan untuk database pada instance ECS

• Kasus 4: Izinkan akses hanya untuk protokol tertentu

• Kasus 5: Aktifkan komunikasi internal antar instance dalam security group berbeda

Kontrol lalu lintas outbound dari instance ECS

Lalu lintas outbound adalah traffic dari instance ECS Anda ke sumber eksternal. Secara default, aturan outbound security group dasar mengizinkan semua akses. Anda dapat menambahkan aturan deny untuk membatasi akses instance ke sumber eksternal tertentu. Lihat kasus penggunaan berikut:

• Kasus 6: Batasi akses dari instance ECS ke website eksternal

Kasus 1: Izinkan akses publik ke layanan web

Kasus 2: Izinkan akses jarak jauh untuk pengguna tertentu

Kasus 3: Konfigurasikan kebijakan keamanan database

Kasus 4: Izinkan akses hanya untuk protokol tertentu

Kasus 5: Aktifkan komunikasi internal antar security group

• Skenario 1: Security group dalam akun yang sama

  Jika security group A dan security group B milik akun yang sama, tetapkan objek otorisasi ke ID security group sumber. Tabel berikut menunjukkan contoh konfigurasi aturan ini.

  Rule direction	Action	Priority	Protocol type	Port range	Authorization object
  inbound	Allow	1	Custom TCP	Destination: 21/21	Source: sg-bp1hv6wvmegs036****

  Catatan

  Ganti ID security group contoh dengan nilai aktual Anda.

• Skenario 2: Security group dalam akun berbeda

  Jika security group A dan security group B milik akun berbeda, tetapkan objek otorisasi ke ID akun Alibaba Cloud sumber dan ID security group.

  Rule direction	Action	Priority	Protocol type	Port range	Authorization object
  inbound	Allow	1	Custom TCP	Destination: 21/21	Source: 160998252992****/sg-bp174yoe2ib1sqj5****

  Catatan

  Ganti ID akun Alibaba Cloud dan ID security group contoh dengan nilai aktual Anda.

Kasus 6: Batasi akses ke website eksternal