Cloud Firewall:Pre-sales FAQ

Por que preciso atribuir a função vinculada ao service AliyunServiceRoleForCloudFW ao Cloud Firewall?

O Cloud Firewall precisa de acesso aos seus recursos cloud — instâncias do Elastic Compute Service (ECS), virtual private clouds (VPCs) e instâncias do Server Load Balancer (slb) — para exibir o tráfego de ativos, monitorar as comunicações da rede interna e aplicar políticas de controle de acesso no console.

Somente uma conta da Alibaba Cloud ou um usuário do Resource Access Management (RAM) com a política AliyunRAMFullAccess pode autorizar o Cloud Firewall a acessar recursos cloud.

Quantos membros o recurso de gerenciamento de multiconta suporta?

O gerenciamento de multiconta está disponível nas edições Premium, Enterprise e Ultimate do Cloud Firewall. O limite de membros varia conforme a edição. Consulte Detalhes de faturamento para ver a cota por edição.

Para adicionar mais membros do que a sua cota atual permite, atualize a especificação de Managed Members. Consulte Fazer upgrade ou downgrade do Cloud Firewall.

O Cloud Firewall defende contra APTs?

Sim. O Cloud Firewall defende contra ameaças persistentes avançadas (APTs) por meio de uma abordagem em camadas: políticas de controle de acesso restringem o tráfego não autorizado; a prevenção de intrusões detecta e bloqueia comportamentos maliciosos em tempo real; a conscientização sobre violações identifica atividades suspeitas; e o rastreamento de logs fornece visibilidade forense dos incidentes.

Quais são os principais cenários em que o Cloud Firewall protege instâncias de slb voltadas para a Internet?

O Cloud Firewall suporta a nova arquitetura de slb voltado para a Internet e oferece duas capacidades principais:

• Prevenção de intrusões: clique em aplicar para implantar patches virtuais e proteger contra vulnerabilidades de dia zero e outras de alto risco, sem necessidade de reinicializações ou instalação de patches.

• Controle de acesso: implementa controle refinado para tráfego http e https, com a capacidade de restringir endereços IP, portas e protocolos específicos, especialmente para negócios baseados em TCP. Por exemplo, configure políticas para permitir tráfego apenas de regiões específicas.

Quais são as principais capacidades de defesa do firewall de Internet?

Após ativar o Cloud Firewall, o firewall de Internet oferece as seguintes capacidades no perímetro da Internet:

• Inventário de ativos: analisa o tráfego de entrada e saída para identificar aplicações abertas, portas, endereços IP públicos e services cloud acessados.

• Prevenção de intrusões: detecta e bloqueia tráfego e ataques maliciosos em tempo real usando inteligência contra ameaças.

• Bloqueio de nomes de domínio: monitora conexões de saída em busca de destinos suspeitos e aplica políticas de controle de acesso baseadas em domínios ou IPs.

• Prevenção de vulnerabilidades: fornece patches virtuais para defender contra vulnerabilidades de alto risco exploráveis remotamente, sem que você instale patches.

Quais são as vantagens do Cloud Firewall em relação aos firewalls autogerenciados?

O Cloud Firewall é um service totalmente gerenciado que centraliza a proteção de tráfego norte-sul e leste-oeste em todo o seu ambiente cloud, sem hardware para implantar ou manter.

• Service gerenciado: totalmente gerenciado pela Alibaba Cloud. Configure-o no console e ele estará pronto para uso, sem implantação de dispositivos ou sobrecarga operacional.

• Alta disponibilidade e dimensionamento elástico: utiliza uma implantação de cluster em zona dupla que dimensiona o desempenho de forma tranquila, sem exigir que você gerencie configurações de alta disponibilidade ou planejamento de capacidade.

• Integração profunda com services cloud: integra-se nativamente com VPC, Cloud Enterprise Network (CEN), endereços IP elásticos (EIPs) e slb para controlar o acesso no nível do ativo cloud, combinando proteção na camada de rede com sinais de segurança de endpoint.

• Prevenção de intrusões e inteligência contra ameaças: o mecanismo de detecção de ameaças integrado monitora mais de 5 milhões de endereços IP e nomes de domínio maliciosos ativos, atualizando-se continuamente para detectar e bloquear ameaças da Internet em tempo real.

Como sou cobrado pelo Cloud Firewall (pagamento conforme o uso)?

O faturamento é por hora e as taxas são calculadas diariamente com base na seguinte fórmula:

Taxa diária = Taxa diária de configuração de endereços IP públicos + Taxa diária de processamento de tráfego

As faturas são geradas e deduzidas do saldo da sua conta no dia seguinte ao uso. Para a tabela de preços completa, consulte Pagamento conforme o uso.

Para reduzir custos, adquira um plano de economia do pagamento conforme o uso para compensar suas taxas de uso.

Como visualizo os detalhes de uso do Cloud Firewall (pagamento conforme o uso)?

No console do Cloud Firewall, acesse Settings > Bill Management e visualize os detalhes de uso.

O que é um plano de economia do pagamento conforme o uso?

Um plano de economia é um plano de desconto que reduz seus custos de pagamento conforme o uso em troca do compromisso com um valor de uso consistente durante um período fixo. Quanto maior o valor comprometido, maior o desconto. Consulte Planos de economia do pagamento conforme o uso para obter detalhes.

Quais são as diferenças entre o pagamento conforme o uso e a assinatura?

Os dois métodos de faturamento diferem na forma de pagamento e nos recursos disponíveis:

Para a comparação completa, consulte Assinatura 2.0 e Pagamento conforme o uso.

Como alterar da assinatura para o pagamento conforme o uso?

Consulte Fazer upgrade ou downgrade do Cloud Firewall para ver as etapas e os impactos da mudança de assinatura para pagamento conforme o uso.

Como alterar do pagamento conforme o uso para a assinatura?

Consulte Alterar do pagamento conforme o uso para a assinatura para ver as etapas e os impactos.

Como liberar o Cloud Firewall (pagamento conforme o uso)?

No console do Cloud Firewall, acesse a página Overview e escolha More > Self-service Release. Para obter detalhes, consulte Liberar o Cloud Firewall.

Por que ainda sou cobrado após liberar o Cloud Firewall (pagamento conforme o uso)?

O ciclo de faturamento é de um dia e as faturas são geradas no dia seguinte ao uso. Se você liberar o Cloud Firewall hoje, uma fatura referente ao uso de hoje ainda será gerada amanhã. Este é o comportamento esperado. Para mais informações, consulte Pagamento conforme o uso.

O Cloud Firewall protege EIPs de camada 2?

Sim. Para o escopo de proteção completo, consulte O que é o Cloud Firewall?

O Cloud Firewall suporta a rede clássica?

O Cloud Firewall protege instâncias de ECS e instâncias específicas de slb que usam endereços IP públicos na rede clássica. Os firewalls internos protegem instâncias em VPCs, mas não são compatíveis com a rede clássica.

O Cloud Firewall protege instâncias de slb voltadas para a Internet?

Algumas instâncias de slb voltadas para a Internet não podem ser protegidas devido a restrições da arquitetura de rede. Nesses casos, implante uma instância de slb voltada para a rede interna e associe um endereço IP elástico (EIP) a ela.

Quando um firewall é ativado para uma instância de slb voltada para a rede interna associada a um EIP, o tráfego flui pelo firewall, depois pelo gateway de Destination Network Address Translation (DNAT) associado ao EIP e, finalmente, chega à instância de slb.

O Cloud Firewall protege o tráfego no Express Connect ou CEN?

Sim, com as seguintes distinções:

Para proteger o tráfego entre regiões entre VPCs ou entre uma VPC e um Virtual Border Router (VBR), migrar as VPCs de uma conexão de emparelhamento no Express Connect para uma instância CEN .

O firewall de Internet protege o tráfego destinado a um gateway VPN público?

Não. O tráfego para um gateway VPN público é criptografado pelo gateway VPN, e o firewall de Internet não pode inspecionar ou proteger tráfego criptografado.

O VPC Firewall protege o tráfego destinado a uma VPC por meio de uma conexão IPsec-VPN?

Depende de como sua conexão IPsec-VPN está implantada.

Cenário 1: IPsec-VPN associado a um roteador de trânsito CEN

Se sua conexão IPsec-VPN estiver associada a um roteador de trânsito CEN e conectada a uma VPC de negócios, o VPC Firewall poderá proteger o tráfego para essa VPC.

Cenário 2: IPsec-VPN implantado em uma VPC de negócios com tráfego entre VPCs

Se sua conexão IPsec-VPN usar um gateway VPN implantado em uma VPC de negócios e seus services envolverem tráfego entre VPCs (por exemplo, VPCs conectadas via CEN ou uma conexão de emparelhamento de VPC), o VPC Firewall poderá proteger o tráfego para outras VPCs de negócios, mas não o tráfego para a VPC onde a conexão IPsec-VPN está implantada.

Para proteger o tráfego para a VPC onde a conexão IPsec-VPN está implantada, mova a conexão IPsec-VPN para uma VPC dedicada. O Cloud Firewall poderá então proteger o tráfego dessa VPC dedicada para suas VPCs de negócios.

Cenário 3: IPsec-VPN implantado em uma VPC de negócios sem tráfego entre VPCs

Se sua conexão IPsec-VPN usar um gateway VPN em uma VPC de negócios e não houver tráfego entre VPCs, o VPC Firewall não poderá proteger o tráfego para essa VPC.

Onde o firewall de Internet se posiciona na arquitetura de rede da Alibaba Cloud?

O firewall de Internet se posiciona no perímetro entre a Internet e seus ativos cloud e fornece duas funções principais:

• Defende contra ataques de entrada provenientes da Internet.

• Controla conexões de saída de ativos cloud para a Internet.

A figura a seguir mostra a posição lógica do Cloud Firewall em relação a outros serviços da Alibaba Cloud.

Como o tráfego flui ao usar Anti-DDoS, WAF e Cloud Firewall juntos?

O fluxo de tráfego depende do modo de implantação do WAF:

• WAF no modo de registro CNAME: Anti-DDoS → WAF → Cloud Firewall → service de backend

• WAF no modo cloud nativo: Anti-DDoS → Cloud Firewall → WAF → service de backend

Como usar WAF e Cloud Firewall juntos para gerenciar a exposição à Internet?

A exposição à Internet refere-se a ativos acessíveis a partir da Internet: endereços IP, portas, nomes de domínio, aplicações e APIs. O WAF e o Cloud Firewall abordam diferentes partes dessa superfície:

• Web Application Firewall (WAF) — identificação de ativos: o WAF agrega dados de configuração do Alibaba Cloud Certificate Management Service, Alibaba Cloud DNS, WAF e HiChina para fornecer uma visão global dos seus ativos de aplicações web. Isso garante que todos os ativos sejam inventariados e possam ser totalmente protegidos.

• Cloud Firewall — gerencie ativos de rede: o Cloud Firewall monitora o tráfego de comunicação entre a Internet e seus endereços IP públicos. Use-o para desativar portas abertas desnecessárias, restringir endereços IP expostos e configurar políticas de controle de acesso refinadas.

Por que usuários do roteador de trânsito CEN têm requisitos mais rigorosos para o Cloud Firewall?

Empresas que executam arquiteturas de múltiplas VPCs com roteadores de trânsito CEN enfrentam desafios complexos de gerenciamento de tráfego leste-oeste:

• Controle de tráfego entre VPCs e cloud híbrida: diferentes VPCs geralmente têm diferentes níveis de segurança, mas os requisitos de negócios exigem que múltiplas VPCs se comuniquem seletivamente. À medida que o número de VPCs e conexões entre VPCs cresce, controlar o tráfego leste-oeste e defender contra ataques de movimento lateral torna-se significativamente mais complexo.

• Requisitos de conformidade: ao migrar para a cloud, muitas empresas devem atender a padrões como Multi-Level Protection Scheme (MLPS) e ISO 27001. Por exemplo, as extensões de segurança de computação em cloud do MLPS exigem mecanismos de controle de acesso em cada perímetro de rede com aplicação nos níveis de sessão e aplicação. O Cloud Firewall Enterprise Edition foi projetado para atender a esses requisitos de controle de tráfego leste-oeste.