O pacote de conformidade BestPracticeForInternetAccessResourceDetection detecta recursos de nuvem com acesso irrestrito à Internet habilitado. Este tópico aborda o contexto, os cenários e as regras padrão deste modelo de pacote de conformidade.
Informações de contexto
Habilitar o acesso irrestrito à Internet para recursos de nuvem gera riscos significativos de segurança e aumenta os custos de gerenciamento. Para resolver questões de segurança, custos, permissões e monitoramento na Internet, as equipes de TI corporativas geralmente implantam pontos de saída seguros e centralizados, além de restringir o acesso público irrestrito em outros recursos de nuvem. Essa prática reduz riscos potenciais, como ataques cibernéticos e vazamentos de dados. Crie um pacote de conformidade com base neste modelo para detectar recursos de nuvem com acesso irrestrito à Internet habilitado.
Cenários
Use este modelo se sua empresa gerencia dados e serviços críticos de negócios no Alibaba Cloud.
Regras padrão
|
Nome da regra |
Descrição |
|
Verifica se o acesso à Internet está habilitado para cada instância do ApsaraDB for Redis e se todos os blocos CIDR constam na lista de permissões de IP da instância. Caso contrário, o resultado da avaliação é Compliant. Se estiverem habilitados, o resultado é Non-compliant. |
|
|
Verifica se o acesso à Internet está habilitado para cada instância do ApsaraDB RDS e se o bloco CIDR 0.0.0.0/0 foi adicionado à lista de permissões. Nesse caso, o resultado da avaliação é Non-compliant. |
|
|
Verifica se o acesso à Internet está habilitado e se qualquer acesso via Internet é permitido para cada instância do PolarDB. Se sim, o resultado da avaliação é Non-compliant. |
|
|
Verifica se o acesso à Internet está ativo e se conexões de qualquer endereço IP são aceitas em cada instância do PolarDB. Quando isso ocorre, o resultado da avaliação é Non-compliant. |
|
|
Verifica se o acesso à Internet está habilitado e se qualquer conexão externa é permitida para cada instância do ApsaraDB for MongoDB. Diante dessa configuração, o resultado da avaliação é Non-compliant. |
|
|
Verifica se o acesso à Internet está habilitado e se qualquer tráfego externo é permitido para cada cluster do Elasticsearch. Se confirmado, o resultado da avaliação é Non-compliant. |
|
|
Verifica se o tipo de rede de cada instância do Tablestore está definido como VPC ou Console Access. Em caso positivo, o resultado da avaliação é Compliant. |
|
|
Verifica se cada cluster MSE permite acesso pela Internet com autenticação habilitada ou se nega totalmente o acesso externo. Se uma dessas condições for verdadeira, o resultado da avaliação é Compliant. |
|
|
Verifica se a política de autorização de entrada de cada grupo de segurança está definida como Allow com intervalo de portas -1/-1 ou endereço IP autorizado 0.0.0.0/0, ou se existe uma política de autorização com prioridade superior configurada. Nessas situações, o resultado da avaliação é Compliant. Para grupos de segurança utilizados por serviços de nuvem ou operadores de rede virtual, o resultado é Not Applicable. |
|
|
Verifica se há um endpoint público especificado para cada cluster do Container Service for Kubernetes. Na ausência dessa configuração, o resultado da avaliação é Compliant. |
|
|
Verifica se o tipo do repositório de imagens do Container Registry é Private. Se for, o resultado da avaliação é Compliant. |
|
|
O acesso à Internet está desabilitado para o cluster do ApsaraDB for HBase. |
Verifica se o acesso à Internet está desabilitado em um cluster do ApsaraDB for HBase. Sendo assim, o resultado da avaliação é Compliant. |
|
Verifica se o acesso à Internet está desabilitado para cada instância do AnalyticDB. Caso esteja, o resultado da avaliação é Compliant. |
|
|
Verifica se nenhuma instância ECS em execução possui endereços IPv4 públicos ou endereços IP elásticos atribuídos. Se não houver tais atribuições, o resultado da avaliação é Compliant. |