Elastic Compute Service:Panduan dan kasus penggunaan security group

Panduan security group

1. Identifikasi kebutuhan dan rencanakan security group

Tentukan kebutuhan bisnis dan persyaratan keamanan spesifik Anda. Misalnya, tentukan layanan mana yang harus dapat diakses publik dan mana yang harus dibatasi hanya untuk akses internal.

• Pisahkan server untuk layanan publik dan internal ke dalam security group berbeda

  Membuka port layanan yang tidak diperlukan dapat menciptakan kerentanan keamanan. Terapkan aturan paling ketat pada security group untuk instance ECS Anda. Gunakan kebijakan deny-by-default, yang secara default menutup semua port dan protokol serta hanya membuka port-port spesifik yang dibutuhkan oleh layanan Anda.

  Security group untuk server yang menghadap publik harus memiliki tujuan yang jelas dan sederhana. Hindari menjalankan layanan lain, seperti MySQL atau Redis, pada server yang sama. Kami merekomendasikan Anda menginstal layanan backend tersebut pada instance ECS yang tidak memiliki public IP address. Kemudian, berikan akses dengan membuat aturan security group yang mengotorisasi akses dari security group lain.

• Gunakan security group berbeda untuk aplikasi berbeda

  Dalam lingkungan produksi, server dengan sistem operasi atau aplikasi berbeda biasanya tidak termasuk dalam kelompok yang sama untuk load balancing. Layanan berbeda memerlukan pembukaan atau penutupan port yang berbeda. Tetapkan sumber daya dengan peran berbeda ke security group berbeda.

  Misalnya, instans Linux mungkin memerlukan TCP port 22 untuk akses SSH, sedangkan instans Windows mungkin memerlukan TCP port 3389 untuk koneksi Remote Desktop.

  Bahkan jika instans menggunakan jenis image yang sama tetapi menyediakan layanan berbeda, Anda harus menetapkannya ke security group berbeda jika tidak perlu berkomunikasi melalui jaringan internal. Pendekatan ini memisahkan layanan Anda, menyederhanakan perubahan aturan di masa depan, dan memastikan setiap security group memiliki tanggung jawab tunggal.

  Saat merencanakan dan menambahkan aplikasi baru, Anda harus merencanakan security group seperti halnya Anda merencanakan subnet dengan vSwitch. Gunakan Blok CIDR dan security group untuk menetapkan batas yang jelas antara penyedia layanan dan konsumen.

• Gunakan security group terpisah untuk lingkungan produksi dan pengujian

  Untuk mengisolasi sistem lebih baik, Anda mungkin membangun beberapa lingkungan pengujian dan satu lingkungan produksi. Untuk mengisolasi jaringan secara tepat, konfigurasikan kebijakan keamanan berbeda untuk setiap lingkungan. Hal ini mencegah perubahan di lingkungan pengujian secara tidak sengaja memengaruhi stabilitas lingkungan produksi Anda.

  Dengan membuat security group berbeda, Anda dapat membatasi domain akses aplikasi dan mencegah komunikasi antara lingkungan produksi dan pengujian. Anda juga dapat menetapkan security group berbeda ke beberapa lingkungan pengujian untuk mencegah saling mengganggu, yang meningkatkan efisiensi pengembangan.

• Jangan tetapkan public IP address ke sumber daya yang tidak memerlukan akses publik

  Hubungkan ke instance ECS menggunakan metode yang tidak memerlukan public IP address, seperti Workbench, Session Manager, atau jump server, untuk meminimalkan eksposur publik. Untuk mengakses layanan yang dideploy di jaringan pribadi secara langsung, Anda dapat menggunakan fitur port forwarding. Untuk informasi selengkapnya, lihat Gunakan port forwarding CLI Session Manager untuk mengakses instance yang tidak memiliki public IP address.

  Dalam aplikasi terdistribusi, sumber daya sering dipisahkan ke dalam tier dan kelompok berbeda. Untuk instance ECS yang tidak menyediakan layanan publik, jangan tetapkan public IP address. Jika Anda memiliki beberapa server yang menyediakan akses publik, gunakan SLB untuk mendistribusikan traffic publik. Hal ini meningkatkan ketersediaan sistem dan mencegah single point of failure. Untuk informasi selengkapnya, lihat .

  Di dalam VPC, jika instance ECS tanpa public IP address perlu mengakses internet, gunakan NAT gateway. Gateway ini bertindak sebagai proxy untuk akses internet. Anda hanya perlu mengonfigurasi aturan SNAT untuk Blok CIDR atau subnet tertentu agar dapat mengakses publik. Hal ini mencegah Anda mengekspos layanan ke internet dengan menetapkan public IP address (atau elastic IP address) ketika hanya akses internet arah keluar yang diperlukan. Untuk informasi selengkapnya, lihat Buat dan kelola entri SNAT.

• Gunakan security group sebagai daftar putih

  Security group harus berfungsi sebagai daftar putih. Secara default, security group menolak semua akses. Anda dapat menambahkan aturan allow untuk mengizinkan traffic pada rentang port tertentu dari sumber yang diotorisasi. Buka sesedikit mungkin port dan tetapkan sesedikit mungkin public IP address. Mengaitkan elastic IP address merupakan cara praktis untuk mengakses mesin produksi guna troubleshooting, tetapi hal ini mengekspos seluruh mesin ke internet.

2. Konfigurasi aturan security group

Security group bertindak sebagai firewall virtual yang mengontrol traffic inbound dan outbound untuk instance ECS. Anda harus hanya membuka port komunikasi yang diperlukan dan membatasi rentang alamat IP sumber sebanyak mungkin.

Dalam VPC, satu aturan security group dapat mengontrol akses jaringan publik dan pribadi sekaligus. Artinya, Anda dapat mengonfigurasi satu aturan untuk membatasi atau mengizinkan traffic baik dari internet maupun jaringan internal Anda.

• Kebijakan default berbeda antara security group dasar dan tingkat lanjut

  Secara default, baik security group dasar maupun security group tingkat lanjut menolak semua traffic inbound. Namun, kebijakan outbound-nya berbeda: security group dasar mengizinkan semua traffic outbound, sedangkan security group tingkat lanjut menolaknya.

• Konektivitas internal berbeda di antara security group dan jenis security group

  Meskipun berada dalam akun yang sama, instance ECS dalam security group berbeda terisolasi satu sama lain melalui jaringan internal. Secara default, instance dalam security group dasar yang sama dapat saling berkomunikasi, sedangkan instance dalam security group tingkat lanjut yang sama terisolasi satu sama lain.

• Tambahkan aturan berdasarkan prinsip least privilege

  Misalnya, saat Anda membuka port 22 pada instance Linux untuk login remote, izinkan akses hanya dari alamat IP tertentu.

  Peringatan

  Mengotorisasi akses dari 0.0.0.0/0 mengizinkan semua alamat IP mengakses instance, yang mengekspos semua port. Hal ini sangat tidak aman. Praktik yang benar adalah menolak akses ke semua port secara default. Misalnya, jika Anda perlu mengekspos layanan web, Anda hanya boleh membuka port TCP umum seperti 80, 8080, dan 443, serta menutup semua port lainnya.

  Konfigurasikan aturan security group berdasarkan kebutuhan bisnis Anda dan prinsip least privilege. Hindari membuka semua port (gunakan ::/0 atau 0.0.0.0/0 dengan sangat hati-hati) untuk mencegah risiko keamanan. Untuk informasi selengkapnya tentang jenis objek otorisasi, lihat Aturan security group.

• Isolasi instance dalam satu kelompok berdasarkan prinsip least privilege

  Jika instance dalam security group dasar tidak perlu saling berkomunikasi, atur kebijakan akses internal untuk security group tersebut agar mengisolasi instance-instance tersebut.

• Pertahankan konsistensi tujuan aturan dalam satu security group

  Atur aturan ke dalam beberapa security group berdasarkan tujuannya dan kaitkan instance dengan kelompok yang relevan. Satu security group dengan terlalu banyak aturan meningkatkan kompleksitas manajemen.

• Pilih objek otorisasi dengan hati-hati

  Objek otorisasi untuk aturan security group dapat berupa alamat IP, security group lain, atau Blok CIDR.

  Jika Anda ingin mengaktifkan komunikasi jaringan antara sumber daya di grup keamanan yang berbeda, Anda harus mengizinkan akses berdasarkan grup keamanan. Sebagai contoh, untuk aplikasi terdistribusi, Anda dapat menggunakan grup keamanan yang berbeda untuk komponen yang berbeda. Jika grup keamanan ini tidak dapat berkomunikasi satu sama lain, Anda tidak boleh mengizinkan akses berdasarkan alamat IP atau Blok CIDR. Sebagai gantinya, Anda harus langsung mengizinkan akses dari semua sumber daya dalam grup keamanan lainnya. Misalnya, jika Anda membuat grup keamanan terpisah untuk komponen web dan database aplikasi Anda, sg-web dan sg-database, Anda dapat menambahkan aturan ke sg-database. Aturan ini mengizinkan semua sumber daya dalam grup keamanan sg-web untuk mengakses port MySQL (3306).

  Untuk akses jaringan internal, otorisasi security group sumber daripada Blok CIDR.

• Aplikasi umum menggunakan port default

  Aplikasi menggunakan port server tertentu untuk berkomunikasi dengan layanan eksternal. Untuk informasi selengkapnya, lihat Port umum.

3. Tinjau dan optimalkan aturan secara berkala

Saat bisnis Anda berkembang, security group dan aturan yang ada mungkin menjadi usang. Tinjau arsitektur Anda secara berkala dan lakukan penyesuaian berdasarkan kondisi keamanan terbaru. Sebelum memodifikasi security group di lingkungan produksi, kloning terlebih dahulu dan uji aturan tersebut di lingkungan pengujian untuk memastikan aliran traffic berjalan dengan benar. Kemudian, terapkan perubahan tersebut ke security group produksi. Praktik ini membantu mencegah gangguan layanan akibat modifikasi yang salah.

Kasus penggunaan

Kontrol traffic inbound ke instance ECS

Traffic inbound adalah traffic dari sumber daya eksternal ke instance ECS Anda. Anda dapat mengonfigurasi aturan security group inbound untuk mengizinkan pengguna tertentu mengakses layanan yang dideploy pada instance ECS Anda. Secara default, semua traffic inbound ditolak, sehingga Anda hanya perlu mengonfigurasi aturan Allow untuk traffic yang ingin Anda izinkan. Kasus penggunaan terkait meliputi:

• Kasus 1: Sediakan layanan web dari website yang dideploy pada instance ECS

• Kasus 2: Izinkan akses remote untuk pengguna tertentu ke instance ECS

• Kasus 3: Terapkan kebijakan keamanan untuk database yang dideploy pada instance ECS

• Kasus 4: Izinkan akses hanya untuk protokol tertentu

• Kasus 5: Aktifkan komunikasi internal antar instance dalam security group berbeda

Kontrol traffic outbound dari instance ECS

Traffic outbound adalah traffic dari instance ECS Anda ke sumber daya eksternal. Anda dapat mengonfigurasi aturan security group outbound untuk menolak akses dari instance ECS Anda ke sumber daya eksternal tertentu. Untuk security group dasar, semua traffic outbound diizinkan secara default, sehingga Anda hanya perlu menambahkan aturan Deny untuk traffic yang ingin Anda blokir. Kasus penggunaan terkait meliputi:

• Kasus 6: Batasi akses outbound dari instance ECS ke website eksternal

Kasus 1: Sediakan layanan web

Kasus 2: Izinkan akses remote

Kasus 3: Konfigurasi keamanan database

Kasus 4: Izinkan protokol tertentu

Kasus 5: Aktifkan komunikasi internal

• Skenario 1: Security group dalam akun yang sama

  Jika Security Group A dan Security Group B berada dalam akun yang sama, atur objek otorisasi ke ID security group sumber. Tabel berikut menunjukkan contoh konfigurasi aturan security group ini.

  Arah Aturan	Action	Prioritas	Jenis protokol	rentang port	Objek otorisasi
  Inbound	Allow	1	Custom TCP	21/21	sg-bp1hv6wvmegs036****

  Catatan

  Ganti contoh ID grup keamanan dengan nilai aktual Anda.

• Skenario 2: Security group dalam akun berbeda

  Jika Security Group A dan Security Group B berada dalam akun berbeda, atur objek otorisasi ke ID akun Alibaba Cloud sumber dan ID security group sumber. Tabel berikut menunjukkan contoh konfigurasi aturan security group ini.

  Rule Direction	Aksi	Prioritas	Jenis protokol	Rentang port	Objek otorisasi
  Inbound	Allow	1	Custom TCP	21/21	160998252992****/sg-bp174yoe2ib1sqj5****

  Catatan

  Ganti ID akun Alibaba Cloud dan ID security group contoh dengan nilai aktual Anda.

Kasus 6: Batasi akses outbound