OS ベースライン、Security Center、ノードアクセス制御、ECS ベストプラクティスを使用して、ACK ホストのセキュリティを強化します。
ベースラインチェックの実行
定期的にベースラインチェックを実行し、ホストが OS セキュリティ強化および等級保護制度 (MLPS) の標準を満たしていることを確認してください。
OS セキュリティ強化
OS セキュリティ強化は、Alibaba Cloud Linux (Alinux)、CentOS、Ubuntu などのホスト OS に対するセキュリティ標準を定義します。ACK クラスターでは、デフォルトで Alinux 3 を使用します。
MLPS セキュリティ強化
GB/T 22239-2019 に基づく MLPS セキュリティ強化では、Alinux を 5 つの領域 (ID 認証、アクセス制御、セキュリティ監査、侵入防止、悪意のあるコードの防止) で強化します。詳細については、「ACK security hardening based on MLPS」をご参照ください。
Alibaba Cloud Security Center の有効化
ACK クラスターのノードで、脆弱性の検出、ホスト構成のチェック、コンテナイメージスキャンを実行してください。
Security Center は、ACK ノードに次の機能を提供します：
-
脆弱性パッチ適用：一般的な脆弱性を検出し、パッチを適用します。[脆弱性] ページで結果の確認やスキャンのトリガーができます。
-
ベースラインチェック：OS、データベース、ソフトウェア、コンテナの構成をチェックします。侵入リスクを低減し、コンプライアンス要件を満たすための推奨事項を含むレポートを生成します。
-
クラウドサービス構成チェック：ID と権限、ネットワークアクセス制御、データセキュリティ、ログ監査、監視とアラート、基本セキュリティの 6 つの観点でクラウドサービス構成をチェックします。各検出結果に対し、緩和策の推奨を提示します。
-
コンテナイメージスキャン：コンテナイメージ内のシステムおよびアプリケーションの脆弱性、悪意のあるサンプル、構成リスク、機密データを検出します。修正の推奨事項を提示します。
ノードアクセスの制限
ノードをインターネットに公開しないように、内部ネットワーク経由でアクセスしてください。
[ACK コンソール] から、Workbench または Virtual Network Computing (VNC) を使用して内部ネットワーク経由でリモートノードにアクセスします。Elastic IP アドレス (EIP) は不要です。
ノードにインターネットアクセスが必要な場合は、セキュリティグループルールを追加して送信元アクセスを制限してください。公開ポートを制限すると、攻撃対象領域をさらに削減できます。
ECS セキュリティベストプラクティスの遵守
ACK クラスターのノードをホストするインスタンスに、ECS ベストプラクティスを適用してください。
ACK ノードをホストする ECS インスタンスは、デフォルトで Alinux 3 を実行します。詳細については、「ECS インスタンスのセキュリティ」をご参照ください。
次のステップ
-
「ACK security hardening based on MLPS」で MLPS セキュリティ強化を有効化し、ベースラインチェックポリシーを設定してください。
-
「Use Alibaba Cloud Linux 3」で Alinux 3 のセキュリティ機能を確認してください。
-
Security Center を使用した脆弱性管理については、「Overview」をご参照ください。