Bagaimana cara mengurangi risiko biaya tak terduga yang disebabkan oleh lalu lintas akses jahat? - Object Storage Service

Jika bucket Object Storage Service (OSS) Anda diserang atau mengalami lalu lintas penipuan, lonjakan bandwidth atau trafik dapat terjadi. Hal ini dapat menyebabkan biaya penyimpanan meningkat secara signifikan dibandingkan kondisi normal. Untuk mencegah risiko keamanan dan tagihan tak terduga, kami menyarankan Anda menerapkan praktik terbaik keamanan yang diuraikan dalam topik ini untuk melindungi bucket Anda.

Penting

Praktik terbaik berikut merupakan langkah-langkah umum dan bukan solusi keamanan lengkap. Praktik ini hanya diberikan sebagai referensi dan mungkin tidak sesuai untuk semua skenario bisnis. Kami menyarankan Anda tetap waspada terhadap ancaman keamanan data dan mengambil tindakan pencegahan yang diperlukan.

Biaya tak terduga yang tinggi

Ketika bucket diserang atau mengalami lalu lintas penipuan, konsekuensi finansial berikut dapat terjadi:

Tagihan tinggi: Bandwidth atau trafik OSS tambahan dikonsumsi, dan Anda akan dikenai biaya untuk sumber daya bandwidth yang digunakan.
Saldo akun negatif: Jika Anda menggunakan OSS dengan model pembayaran pay-as-you-go, karena faktor-faktor seperti siklus penagihan dan penundaan pemrosesan tagihan, layanan tidak langsung ditangguhkan ketika saldo akun Anda mencapai nol. Ini menghasilkan saldo akun negatif. Jika bucket Anda diserang atau mengalami lalu lintas penipuan, lonjakan bandwidth atau trafik terjadi. Anda akan dikenai biaya yang totalnya lebih tinggi dari Saldo akun Alibaba Cloud Anda.

Blokir Akses Publik

Anda dapat mengizinkan akses publik ke sumber daya OSS dengan mengonfigurasi kebijakan bucket dan daftar kontrol akses (ACL). Akses publik memungkinkan akses ke sumber daya OSS tanpa izin atau autentikasi tertentu. Namun, akses publik dapat menyebabkan pelanggaran data dan menghasilkan sejumlah besar trafik arah keluar melalui Internet akibat akses jahat. Untuk mencegah risiko yang disebabkan oleh akses publik, OSS memungkinkan Anda mengaktifkan Blokir Akses Publik untuk OSS, bucket, titik akses, dan Titik Akses Objek FC. Jika Anda mengaktifkan Blokir Akses Publik, izin akses publik yang ada diabaikan dan Anda tidak dapat mengonfigurasi izin akses publik. Ini menonaktifkan saluran akses data publik dan memastikan keamanan data. Untuk informasi lebih lanjut, lihat Blokir Akses Publik.

Akses OSS dengan menggunakan PrivateLink

PrivateLink digunakan untuk membangun koneksi privat, stabil, dan aman antara virtual private cloud (VPC) dan OSS. PrivateLink mencegah risiko yang mungkin timbul dari mengakses layanan melalui Internet. Metode ini tidak hanya meningkatkan keamanan data, tetapi juga mengurangi kemungkinan kerugian finansial besar yang disebabkan oleh lalu lintas penipuan. Berikut adalah manfaat menggunakan PrivateLink:

Isolasi: Anda dapat menggunakan PrivateLink untuk mengakses sumber daya OSS dari VPC. Dengan cara ini, Anda dapat mengisolasi OSS dari Internet. Sumber daya OSS Anda hanya dapat diakses dari VPC yang Anda otorisasi secara eksplisit, mencegah akses jahat dan serangan melalui Internet.
Kontrol izin: Anda dapat menggunakan titik akhir PrivateLink di VPC untuk mengelola akses ke sumber daya OSS secara mendetail. Misalnya, Anda dapat membatasi akses dari alamat IP atau subnet tertentu, atau menentukan aturan grup keamanan tertentu untuk lebih meningkatkan keamanan.
Pemantauan trafik: Jika Anda menerapkan layanan di VPC, Anda dapat lebih baik memantau dan mengelola trafik jaringan, mendeteksi dan menangani trafik abnormal pada kesempatan pertama, serta mencegah risiko yang disebabkan oleh akses jahat.

Untuk informasi lebih lanjut, lihat Akses OSS dengan Menggunakan PrivateLink.

Setel ACL bucket atau objek Anda ke privat

Jangan setel daftar kontrol akses (ACL) bucket atau objek Anda ke public-read atau public-read-write kecuali bisnis Anda mengharuskan semua pengguna, termasuk pengguna anonim, membaca data dari dan menulis data ke sumber daya OSS Anda. Sebagai contoh, jika Anda menyetel ACL bucket ke public-read atau public-read-write, perubahan berikut akan berlaku:

Public-read-write: Semua pengguna, termasuk pengguna anonim, dapat membaca data dari dan menulis data ke objek dalam bucket.
Peringatan
Ini dapat mengakibatkan akses tanpa batasan ke data dalam bucket Anda dan biaya tak terduga yang tinggi. Jika pengguna mengunggah data terlarang ke bucket, kepentingan dan hak sah Anda mungkin dilanggar. Kami menyarankan Anda tidak menyetel ACL bucket ke public-read-write kecuali diperlukan.
Public-read: Hanya pemilik bucket yang dapat menulis data ke objek dalam bucket. Pengguna lain, termasuk pengguna anonim, hanya dapat membaca data dari objek dalam bucket.
Peringatan
Ini dapat mengakibatkan akses tanpa batasan ke data dalam bucket Anda dan biaya tak terduga yang tinggi. Berhati-hatilah saat Anda menyetel ACL bucket ke public-read.

Bucket atau objek yang mengizinkan akses public-read atau public-read-write dapat menyebabkan pelanggaran data. Oleh karena itu, kami menyarankan Anda menyetel ACL objek atau ACL bucket ke privat. Jika Anda menyetel ACL bucket ke privat, hanya pemilik bucket yang dapat membaca data dari dan menulis data ke objek dalam bucket. Pastikan bahwa bisnis Anda tidak terpengaruh sebelum Anda mengubah ACL objek atau ACL bucket menjadi privat.

Untuk informasi lebih lanjut, lihat ACL Bucket dan Konfigurasikan ACL untuk Objek.

Konfigurasikan aturan peringatan CloudMonitor

Anda dapat membuat aturan peringatan untuk memantau penggunaan dan status sumber daya OSS. Ketika aturan peringatan dipicu, CloudMonitor mengirimkan notifikasi peringatan kepada Anda sehingga Anda dapat memeriksa dan menangani pengecualian pada kesempatan pertama.

Sebagai contoh, Anda dapat mengonfigurasi aturan peringatan untuk bucket. Jika penggunaan sumber daya, seperti trafik arah masuk dan arah keluar melalui Internet, trafik arah masuk dari CDN, dan trafik arah keluar ke CDN, sama dengan atau lebih besar dari 100 MB selama siklus tertentu, seperti satu menit, aturan peringatan dipicu. Dalam hal ini, CloudMonitor menulis informasi peringatan ke penyimpanan log yang ditentukan dalam Layanan Log Sederhana.

Gambar berikut menunjukkan cara mengonfigurasi aturan peringatan yang dipicu ketika trafik arah masuk melalui Internet sama dengan atau lebih besar dari 100 MB.

Anda dapat mengonfigurasi aturan peringatan untuk bucket atau semua sumber daya OSS yang dimiliki oleh akun Alibaba Cloud Anda. Untuk informasi lebih lanjut, lihat Buat Aturan Peringatan.

Konfigurasikan perlindungan hotlink

OSS memungkinkan Anda mengonfigurasi kebijakan penyaringan berbasis Referer untuk memblokir permintaan yang berisi Referer tertentu dari mengakses data dalam bucket Anda. Dengan cara ini, Anda dapat mencegah akses tidak sah dan biaya trafik tak terduga.

Ketika browser mengirimkan permintaan untuk mengakses objek dalam bucket, header Referer disertakan dalam permintaan untuk menentukan sumber dari mana permintaan dikirim. Jika perlindungan hotlink dikonfigurasi untuk bucket, OSS membandingkan Referer dalam permintaan dengan konfigurasi Referer bucket.

Jika Referer dalam permintaan termasuk dalam daftar hitam Referer atau tidak termasuk dalam daftar putih Referer, permintaan ditolak.
Jika Referer dalam permintaan termasuk dalam daftar putih Referer, permintaan diizinkan.

Sebagai contoh, https://10.10.10.10 termasuk dalam daftar putih Referer bucket dan gambar test.jpg disimpan dalam bucket.

Pengguna A menautkan gambar test.jpg ke situs web https://10.10.10.10. Ketika gambar diminta dari situs web, browser mengirimkan permintaan di mana nilai header Referer adalah https://10.10.10.10. OSS mengizinkan permintaan karena nilai header Referer dalam permintaan termasuk dalam daftar putih Referer.
Pengguna B menautkan gambar test.jpg ke situs web https://192.168.0.0. Ketika gambar diminta dari situs web, browser mengirimkan permintaan di mana nilai header Referer adalah https://192.168.0.0. OSS menolak permintaan karena nilai header Referer dalam permintaan tidak termasuk dalam daftar putih Referer.

Untuk informasi lebih lanjut, lihat Perlindungan Hotlink.

Konfigurasikan aturan CORS

Cross-origin resource sharing (CORS) adalah solusi standar lintas asal yang disediakan oleh HTML5 untuk memungkinkan server aplikasi web mengontrol akses lintas asal. Ini memastikan keamanan transmisi data lintas asal. Browser menggunakan mekanisme kebijakan asal yang sama untuk mengisolasi data berbahaya potensial dan menolak permintaan lintas asal secara default. Sebagai contoh, jika kode JavaScript di satu situs web membuat permintaan untuk sumber daya yang dihosting di situs web lain dengan asal yang berbeda, browser menolak permintaan tersebut.

Anda dapat mengonfigurasi aturan CORS untuk mengizinkan atau menolak permintaan lintas asal berdasarkan kebutuhan Anda. Sebagai contoh, Anda dapat menggunakan konfigurasi CORS yang ditunjukkan dalam gambar berikut untuk mengizinkan permintaan HTTP GET dari www.aliyun.com ke bucket Anda.

cors

Untuk informasi lebih lanjut, lihat Konfigurasikan CORS.

Hindari penamaan objek dengan awalan berurutan

Ketika Anda mengunggah sejumlah besar objek dan menamainya dengan menggunakan awalan berurutan seperti cap waktu dan huruf, tanggal, serta ID numerik yang dapat di-traverse, penyerang dapat mengetahui aturan penamaan dan membuat skrip untuk mendapatkan semua objek. Ini menyebabkan kebocoran data. Dalam hal ini, kami menyarankan Anda menambahkan awalan hash heksadesimal ke nama objek Anda atau menamai objek dengan membalikkan urutan digit cap waktu. Ini dapat mengurangi risiko nama objek di-traverse. Untuk informasi lebih lanjut, lihat Praktik Terbaik Kinerja dan Skalabilitas OSS.