O pacote de conformidade de melhores práticas de segurança da plataforma Alibaba Cloud detecta continuamente configurações de risco em segurança de contas, recursos de nuvem, rede, dados, backup e recuperação, além de auditorias de log.
|
Nome da regra |
Descrição da regra |
|
A conta Alibaba Cloud é compatível quando a autenticação multifator (MFA) está ativada. O MFA reduz o risco de roubo de conta. |
|
|
A conta Alibaba Cloud é compatível se não possuir AccessKey. Como o AccessKey da conta raiz tem permissões irrestritas, seu vazamento pode causar consequências catastróficas. Utilize AccessKeys de usuários RAM com controle de acesso adequado. |
|
|
A API do API Gateway é compatível ao utilizar HTTPS em solicitações públicas para criptografar dados em trânsito. Esta regra não se aplica a APIs restritas a chamadas de rede interna. |
|
|
O nome de domínio acelerado é compatível quando o HTTPS está ativado para criptografar dados em trânsito. |
|
|
O disco ECS é compatível se tiver uma política de snapshot automático configurada. Não se aplica a discos ociosos, incompatíveis com snapshots automáticos ou montados em clusters ACK para uso não persistente. Snapshots automáticos permitem recuperação rápida após incidentes de segurança, como infecções por vírus ou ransomware. |
|
|
Ativar proteção do Security Center para instâncias ECS em execução |
A instância ECS é compatível quando o plugin do Security Center está instalado. Instâncias paradas não se aplicam. |
|
A instância ECS é compatível se o tipo de rede for VPC. Se houver um parâmetro especificado, a conformidade exige que a instância esteja na VPC indicada. A VPC fornece isolamento básico de rede para o ambiente de nuvem. |
|
|
O host Linux é compatível ao utilizar par de chaves para login. Pares de chaves SSH oferecem autenticação segura, prática e resistente a ataques de força bruta. |
|
|
Impedir que grupos de segurança abram portas de risco para todos os IPs em protocolos específicos |
O grupo de segurança é compatível se a regra de entrada do protocolo especificado não liberar portas de risco definidas para 0.0.0.0/0, reduzindo ataques de força bruta. Também é compatível se uma política de autorização prioritária rejeitar a porta. Não se aplica a grupos usados por produtos de nuvem ou operadores virtuais. Por padrão, a regra verifica as portas 22 e 3389. |
|
Não ativar acesso público nem permitir qualquer source na lista de permissões de instâncias MongoDB |
A instância MongoDB é compatível se o acesso à rede pública estiver desativado ou se a lista de permissões bloquear acessos de qualquer source. Essa medida previne ataques de força bruta e reduz riscos de vazamento de dados. |
|
A instância MongoDB é compatível quando o backup de log está ativado. Esse recurso permite restaurar dados para qualquer ponto dentro do período de retenção. |
|
|
O bucket OSS é compatível se a lista de controle de acesso (ACL) não estiver definida como leitura e escrita pública. Essa configuração permite que qualquer visitante grave no bucket, gerando risco de injeção maliciosa de dados. |
|
|
O bucket OSS é compatível se a ACL não estiver definida como leitura pública. A leitura pública eleva o risco de vazamento de dados. |
|
|
Definir política de acesso para buckets OSS públicos sem conceder permissões a contas anônimas |
Buckets OSS com permissões públicas de leitura ou escrita são compatíveis se a política de autorização não conceder tais permissões a contas anônimas, reduzindo o risco de vazamento de dados. Não se aplica a buckets privados. |
|
A instância PolarDB é compatível se o acesso à rede pública estiver desativado ou se a lista de permissões de IP restringir o acesso universal. Isso previne ataques de força bruta e mitiga riscos de vazamento de dados. |
|
|
O cluster PolarDB é compatível quando a criptografia SSL está ativada para proteger dados em trânsito. |
|
|
Definir retenção de backup de log superior a 30 dias para clusters PolarDB |
O cluster PolarDB é compatível se a retenção de backup de log atender ao mínimo de dias especificado (padrão: 30 dias). A desativação do backup ou períodos menores resultam em não conformidade. Backups de log viabilizam a restauração pontual de dados. |
|
Não conceder permissões de superadministrador (Admin) a usuários RAM |
Conformidade atingida quando nenhum usuário, grupo ou função RAM possui permissões Admin (Resource: , Action: ). Siga o princípio do menor privilégio. |
|
Usuários RAM com acesso ao console são compatíveis se o MFA estiver ativado. O MFA reduz o risco de roubo de conta. |
|
|
O AccessKey do usuário RAM é compatível se tiver sido usado dentro do prazo especificado (padrão: 90 dias). Desative prontamente chaves ociosas. |
|
|
A instância RDS é compatível se não possuir endereço IP público. O acesso direto à internet em produção expõe o ambiente a ataques de força bruta e vazamentos de dados. |
|
|
A instância RDS é compatível quando o backup de log está ativado. Não se aplica a instâncias somente leitura. Backups de log permitem restauração pontual de dados. |
|
|
A instância RDS é compatível se o SSL estiver ativado e a versão TLS corresponder à especificada pelo parâmetro, garantindo criptografia dos dados em trânsito. |
|
|
Não ativar acesso público nem permitir qualquer source na lista de permissões de instâncias Redis |
A instância Redis é compatível se o acesso à rede pública estiver desativado ou se a lista de permissões bloquear acessos irrestritos. O acesso público aberto expõe as instâncias a ataques de força bruta e vazamentos de dados. |
|
A instância Redis é compatível quando a criptografia SSL está ativada para proteger dados em trânsito. |
|
|
A instância Redis é compatível se o backup incremental estiver ativado. Aplica-se apenas a instâncias Tair ou Enterprise Edition. Backups incrementais possibilitam restauração pontual de dados. |
|
|
Não configurar lista de controle de acesso de instância SLB para todos os segmentos de endereço |
A instância SLB é compatível se a lista de controle de acesso não contiver a entrada 0.0.0.0/0. Em serviços não HTTP/HTTPS, ative o controle de acesso com uma lista de permissões que exclua 0.0.0.0/0. |
|
Garantir que listeners de instâncias SLB não incluam portas de risco |
A instância SLB é compatível se os listeners não monitorarem portas de risco especificadas. Evite encaminhar portas como 22 e 3389 para a internet a fim de reduzir ataques de força bruta. |
|
A instância SLB é compatível ao configurar um listener HTTPS na porta especificada para criptografar dados em trânsito. Não se aplica a instâncias com apenas listeners TCP ou UDP. Porta padrão: 443. Separe múltiplas portas por vírgula; a conformidade é válida se qualquer porta listada tiver um listener HTTPS. |
|
|
A VPC é compatível se as regras de entrada TCP ou UDP nas portas 22 e 3389 não permitirem a source 0.0.0.0/0. Essa configuração reduz o risco de ataques de força bruta. |