Elastic Compute Service：Batasi Alamat IP Sumber untuk Port O&M Instans

Pemeriksaan: Temukan grup keamanan yang membuka port O&M ke semua alamat IP

Blokir: Larang operasi pembuatan instans yang mengizinkan akses dari alamat IP apa pun ke port O&M

Gunakan kebijakan RAM di tingkat organisasi atau akun untuk memblokir aturan grup keamanan yang mengizinkan akses dari alamat IP apa pun.

• Untuk pengguna perusahaan:

  1. Masuk ke Konsol Direktori Sumber Daya menggunakan Akun Alibaba Cloud. Di bilah menu sebelah kiri, klik Control Policies. Kemudian, buat kebijakan kustom dan tempelkan konten JSON berikut.

     Kebijakan ini menolak operasi yang membuat instans atau yang membuat atau memodifikasi grup keamanan yang mengizinkan akses dari alamat IP apa pun.

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Deny",
           "Action": [
             "ecs:AuthorizeSecurityGroup",
             "ecs:ConfigureSecurityGroupPermissions",
             "ecs:ModifySecurityGroupRule"
           ],
           "Resource": "*",
           "Condition": {
             "StringLike": {
               "ecs:SecurityGroupIpProtocols": [
                 "TCP"
               ]
             },
             "CIDRInRange": {
               "ecs:SecurityGroupSourceCidrIps": [
                 "0.0.0.0/0"
               ]
             }
           }
         },
         {
           "Effect": "Deny",
           "Action": [
             "ecs:CreateInstance",
             "ecs:RunInstances"
           ],
           "Resource": "*",
           "Condition": {
             "Bool": {
               "ecs:NotSpecifySecureGroupId": [
                 "true"
               ]
             }
           }
         }
       ]
     }

  2. Di direktori sumber daya Anda, pilih node yang sesuai dan terapkan kebijakan tersebut. Kebijakan ini akan memblokir operasi tersebut untuk semua akun di bawah node terpilih.

• Untuk Pengguna Non-Perusahaan:

  1. Masuk ke Konsol RAM menggunakan Akun Alibaba Cloud Anda. Di bilah navigasi sebelah kiri, klik Policies. Lalu, buat kebijakan kustom dengan konten yang sama seperti yang dijelaskan di bagian sebelumnya.

  2. Berikan kebijakan akses kepada Pengguna RAM, Grup Pengguna RAM, atau Peran RAM. Untuk informasi lebih lanjut, lihat Mengelola Otorisasi untuk Kebijakan Akses.

Perbaiki: Modifikasi aturan grup keamanan

Modifikasi aturan grup keamanan yang ada dengan mengubah objek otorisasi dari 0.0.0.0/0 menjadi rentang alamat IP tepercaya tertentu.

1. Identifikasi aturan yang tidak aman: Gunakan metode yang dijelaskan dalam bagian Pemeriksaan untuk menemukan grup keamanan dan aturan yang berpotensi menimbulkan ancaman.

2. Modifikasi aturan:

   1. Buka halaman Konsol ECS - Grup Keamanan. Temukan grup keamanan target dan klik Manage Rules pada kolom Operation.

   2. Temukan aturan yang relevan, seperti aturan untuk port 22 yang menggunakan 0.0.0.0/0 sebagai objek otorisasi. Klik Modify, perbarui objek otorisasi ke alamat IP sumber tepercaya, lalu klik Save.