このトピックでは、ベースライン構成、イメージセキュリティ、ネットワーク分離などの主要なシナリオを網羅した、インフラストラクチャセキュリティのコンプライアンス要件と保護対策について説明します。 また、脅威検出、脆弱性管理、セキュリティサービス統合に関する推奨事項も提供し、安全でコンプライアンスに準拠したクラウド環境の構築を支援します。
インフラストラクチャセキュリティの構成と管理
ベースライン構成リスクの検出と管理リスク
Alibaba Cloud Fraud Detection は Security Center と統合されており、サーバーとコンテナの構成コンプライアンスを網羅した包括的なベースラインチェック機能を提供します。 システムは、アカウント権限、サービスポート、ログ設定など、一般的な構成リスクを自動的に検出します。 検出されたベースラインリスクは数クリックで修正し、コンプライアンス要件を満たすことができます。
リアルタイム実装とユーザー制御
デフォルトでは、セキュリティセンターのベースラインチェック機能は有効になっています。 セキュリティセンター コンソールでスキャン タスクを有効または無効にできます。
修正操作はすぐに有効になります。 Security Center ページの CSPM ページで、修正ステータスと結果を確認できます。
ベースラインチェック機能は、Security Center のすべてのエディションでサポートされています。 ただし、Security Center Enterprise および Ultimate は、より広範な高度なチェック項目を提供します。
イメージセキュリティ管理
Security Center は、コンテナイメージのライフサイクル全体にわたるセキュリティ管理を提供します。 次の機能がサポートされています。
イメージの脆弱性スキャン: 200 を超えるセキュリティ検出モデルをサポートし、システムとアプリケーションの脆弱性を検出します。
リスクのあるイメージのブロック: リスクの高い脆弱性を含むイメージの起動を自動的に遮断します。
コンテナイメージスキャン: カスタムスキャンポリシーを作成できます。 コンテナイメージスキャンはデフォルトで有効になっています。
ネットワークリソースの分離と制御
ネットワーク分離とトラフィック制御
Fraud Detection は、仮想プライベートクラウド (VPC) に基づいて多層ネットワーク分離と保護を実装します。
VPC 間の完全な分離。 この場合、クロスネットワークアクセスはデフォルトで拒否されます。
セキュリティグループルールを使用した、インバウンドトラフィックとアウトバウンドトラフィックのきめ細かい制御。
NAT ファイアウォールとドメインネームシステム (DNS) ファイアウォールに基づくプライベートネットワークアクセス制御。
ディザスタリカバリ
マルチゾーンデプロイメント: ゾーンをまたがるディザスタリカバリをサポートします。
ホットマイグレーションテクノロジー: 物理的な再配置中にインスタンスの継続的な実行を保証します。
例外予測システム: 潜在的な障害の回避に役立ちます。
セキュリティ保護機能と影響
リソース消費とパフォーマンス
リアルタイムの脅威検出を有効にした後、CPU 使用率は通常 10% 未満です。 以下の操作は、オフピーク時に実行することをお勧めします。
セキュリティパッチの更新。
ベースラインの修正。
脆弱性スキャン。
セキュリティ強化のためにインスタンスを再起動する必要がある場合は、システムから事前に通知されます。 さらに、以下の操作を実行することをお勧めします。
持続的接続を使用してセッションを維持する。
オフピーク時にメンテナンスウィンドウをスケジュールする。
自動再接続メカニズムを構成する。
セキュリティサービスとの統合
Fraud Detection は、以下のセキュリティサービスとシームレスに統合して、全体的な保護機能を強化できます。
Cloud Firewall: 南北のトラフィック保護を提供します。
Web Application Firewall (WAF): OWASP (オープン・ウェブ・アプリケーション・セキュリティー・プロジェクト) トップ 10 の攻撃から防御します。
機密データの検出と保護 (SDDP): データ漏洩を防止します。
データベース監査: SQL 操作の動作を記録します。
Security Center: 統合セキュリティ管理プラットフォームを提供します。
リアルタイムの脅威検出と対応
侵入検知と防御
システムは 250 以上の検出モデルをサポートし、ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) フェーズを網羅しています。
システムは仮想パッチを提供し、サーバーを再起動することなくリモートの脆弱性攻撃から防御します。
侵入防御はデフォルトで有効になっています。 カスタム保護ポリシーを作成できます。
クローズドループの脅威対応
悪意のある IP アドレスとドメイン名からのリクエストを自動的にブロックします。
攻撃元の追跡と分析をサポートします。
SOAR (Security Orchestration and Automation Response) をサポートします。
Fraud Detection は、上記のインフラストラクチャセキュリティ保護機能に基づいて包括的なセキュリティ保護を提供し、クラウド資産を常に保護します。