Quick start: Unified protection for cloud assets using Cloud Firewall - Cloud Firewall: Central de Documentação do Alibaba Cloud

O Cloud Firewall é um firewall do tipo Software-as-a-Service (SaaS) que oferece segurança unificada, eficiente e inteligente para seus ativos na nuvem. Este guia orienta usuários iniciantes em todo o processo, desde a ativação do service e a proteção automática de ativos até a configuração de políticas de segurança e a verificação de eficácia, ajudando você a estabelecer rapidamente a primeira linha de defesa de rede no seu ambiente de cloud.

Etapa 1: Ativar o Cloud Firewall no modelo pagamento conforme o uso

Acesse a página de compra do Cloud Firewall, defina Product Type como Pay-as-you-go 2.0 e configure os seguintes parâmetros.

Parameter	Description
Auto Protection for Internet Assets	Selecione Yes para adicionar automaticamente todos os ativos públicos ao firewall e ativar a proteção para quaisquer novos ativos. É possível modificar essa configuração posteriormente no console.
Log Analysis e Log Analysis and Storage Capacity	Recomendamos manter as configurações padrão para armazenar logs de acesso. Esse recurso permite coletar, consultar, analisar e processar em tempo real os logs de tráfego dos ativos protegidos, facilitando o atendimento a requisitos de conformidade.
Service-linked Role	Para fornecer recursos como controle de acesso e monitoramento de tráfego, o Cloud Firewall precisa acessar seus recursos na nuvem. Clique em Create Service-linked Role. O sistema cria automaticamente a função vinculada ao service AliyunServiceRoleForCloudFW. Não modifique essa função.

Leia e aceite o Contrato de Serviço do Cloud Firewall (Pay-as-you-go), clique em Buy Now e conclua o pagamento.

Etapa 2: Visualizar ativos públicos e status de proteção

Faça logon no console do Cloud Firewall. No painel de navegação à esquerda, clique em Firewall.
Na aba Internet Firewall, visualize os ativos públicos da sua conta Alibaba Cloud e o respectivo status de proteção. Como você ativou a opção Auto Protection for Internet Assets durante a compra, a coluna Firewall Status de todos os ativos públicos é definida como Protected por padrão.

Etapa 3: Revisar o sistema de prevenção de intrusões (IPS)

O sistema de prevenção de intrusões (IPS) integrado ao Cloud Firewall detecta e bloqueia uma ampla variedade de ameaças conhecidas em tempo real, incluindo ataques de rede, exploração de vulnerabilidades, tentativas de força bruta, propagação de worms, atividades de criptomineração, comunicações de backdoor e ataques de negação de serviço (DoS).

Siga estas etapas para visualizar as regras do IPS.

No painel de navegação à esquerda, escolha Prevention Configuration > IPS Configuration.
Por padrão, o sistema ativa os recursos Basic Protection e Virtual Patching e define o Threat Engine Mode como Block - Medium, configuração adequada para a maioria dos casos de uso.

Etapa 4: Configurar políticas de lista de controle de acesso (ACL)

O Cloud Firewall permite configurar políticas independentes de controle de acesso para diferentes ativos, oferecendo controle granular sobre o tráfego de entrada e saída.

Por padrão, o Cloud Firewall inclui várias políticas com a Action definida como Allow. Para visualizá-las, escolha Prevention Configuration > Access Control > Policy Configuration > Internet Border no painel de navegação à esquerda.

Direction	Source	Destination	Protocol	Port	Description
Outbound	0.0.0.0/0	0.0.0.0/0	ICMP	-	Permite que ativos na nuvem enviem solicitações ICMP de saída, como `ping`, para testes de conectividade de rede.
Outbound	0.0.0.0/0	0.0.0.0/0	UDP	53	Permite que ativos na nuvem enviem solicitações de consulta DNS para resolução de nomes de domínio, como para acesso a sites ou descoberta de services.
Outbound	0.0.0.0/0	0.0.0.0/0	UDP	123	Permite que ativos na nuvem se conectem a servidores NTP para sincronização de horário, garantindo a precisão do relógio do sistema.
Inbound	0.0.0.0/0	0.0.0.0/0	ICMP	-	Permite que redes externas executem operações de `ping` em ativos na nuvem para verificações e diagnósticos de conectividade.

Como a maioria dos ciberataques se origina em redes públicas, é essencial configurar políticas de segurança alinhadas às necessidades do seu negócio. Recomendamos adotar uma abordagem de lista de permissões: crie uma política abrangente de negar tudo com a prioridade mais baixa e, em seguida, adicione políticas específicas de permissão com prioridade superior.

Importante

Risco de configuração incorreta: Os exemplos de política abaixo servem apenas como referência geral e incluem uma regra de negar tudo. Aplicá-los diretamente em um ambiente de produção pode causar interrupções nos services. Qualquer tráfego que não corresponda a uma regra explícita de permissão será bloqueado pela política abrangente.
Recomendações de configuração:
1. A ordem é importante: Sempre posicione as regras da lista de permissões antes da regra abrangente de negação. Antes de implantar, certifique-se de ter adicionado regras de permissão para todo o tráfego de negócios necessário acima da regra de negação.
2. Validação gradual: Inicialmente, defina a ação da política abrangente como Monitor. Analise o tráfego em Log Audit e refine progressivamente suas políticas para permitir apenas tráfego confiável e crítico para os negócios. Após confirmar que todo o tráfego legítimo está permitido, altere a ação para Deny.
3. Isolamento de ambientes: Ative a regra abrangente de negação em um ambiente de teste. Em ambientes de produção, caso não seja possível definir uma lista de permissões completa imediatamente, restrinja o endereço de source da política abrangente a um intervalo de IP de teste para evitar interrupções nos services de produção.

Configure as políticas: Acesse a página Prevention Configuration > Access Control > Policy Configuration > Internet Border e configure as seguintes regras:

Entrada (classificadas por prioridade, da maior para a menor):

Source	Destination	Protocol	Application	Port	Action
IPs confiáveis da Alibaba Cloud	IP público do ativo na nuvem	All	ANY	All	Allow
Endereços IP de back-to-origin de services na nuvem (por exemplo, WAF, Anti-DDoS)	IP público do ativo na nuvem	All	ANY	All	Allow
Endereços IP de equipe remota de O&M confiável ou bastion host	IP público do ativo na nuvem	TCP	RDP, SSH	3389, 22	Allow
Endereços IP de equipe de O&M confiável	IP público do ativo na nuvem	ICMP	ANY	-	Allow
All	IP público do ativo na nuvem para services web	TCP	HTTPS	443	Allow
All	IP público do ativo na nuvem para services de API	TCP	HTTP	Porta respectiva da API	Allow
All	All	All	All	All	Deny

Saída (classificadas por prioridade, da maior para a menor):

Source	Destination	Protocol	Application	Port	Action
All	IPs confiáveis da Alibaba Cloud, domínios confiáveis da Alibaba Cloud	All	ANY	All	Allow
All	Repositórios de software, services de certificado	All	ANY	All	Allow
All	Domínios confiáveis (por exemplo, Microsoft, Google e Windows)	TCP	HTTPS, HTTP	All	Allow
All	All	UDP	ANY	53, 123	Allow
All	All	ICMP	ANY	-	Allow
All	All	All	All	All	Deny

Ajuste o modo do mecanismo de ACL: O modo padrão permite tráfego de aplicações ou domínios não reconhecidos para evitar falsos positivos durante a configuração inicial. Após confirmar que suas políticas estão corretas, clique em ACL Engine Management no canto superior direito e altere o ACL Engine Mode dos seus ativos para Strict Mode.
Verifique e teste: Aguarde de 3 a 5 minutos após configurar as políticas. Utilize comandos como ping ou curl para testar a conectividade. Em seguida, atualize o console do Cloud Firewall e clique no número na coluna Hits/Last Hit At para visualizar os logs correspondentes na página Log Audit.

Você concluiu este guia de início rápido. Escolha uma das opções abaixo conforme sua necessidade:

(Recomendado) Continuar usando o Cloud Firewall: Acesse Advanced optimization para refinar sua configuração visando segurança e conformidade de nível empresarial.
Parar de usar o Cloud Firewall: Acesse Release resources para interromper o faturamento.

Otimização avançada

Usar catálogos de endereços

Quando as políticas de controle de acesso se tornam complexas, utilizar um catálogo de endereços simplifica significativamente o gerenciamento. É possível predefinir grupos de endereços IP relacionados aos negócios, como IPs de saída do escritório ou IPs de parceiros confiáveis, e referenciar esse catálogo nas suas políticas.

Acesse a página Prevention Configuration > Address Book.
Clique na aba Cloud Service IP Address Book para visualizar os catálogos de endereços fornecidos pela Alibaba Cloud.
Clique na aba Custom IP Address Book e, em seguida, clique em Create Address Book para definir um conjunto de endereços IP frequentemente utilizados. Para mais informações, consulte Address Book.

Configuração do IPS

O modo padrão Block - Medium é adequado para a maioria dos cenários. No entanto, pode ser necessário ajustar a configuração do IPS nas seguintes situações:

Cenários de proteção de alto risco (como durante ataques frequentes ou períodos críticos de segurança):
- Adicione endereços IP confiáveis à Allowlist.
- Altere o Threat Engine Mode para Block - Strict.
- Ative o recurso Threat Intelligence.
Alta taxa de falsos positivos:
- Adicione endereços IP confiáveis à Allowlist.
- Altere o Threat Engine Mode para Block - Loose.
- Caso o problema persista, altere o modo para Monitor.

Ativar o VPC Firewall

Se você utiliza múltiplas redes Virtual Private Cloud (VPC) ou conectou seus ativos locais por meio da Cloud Enterprise Network, ative o VPC Firewall. Ele inspeciona e controla o tráfego leste-oeste entre VPCs conectadas via Transit Router, bem como entre VPCs e data centers locais conectados via Express Connect, protegendo o tráfego da sua rede interna.

Usar um plano de assinatura

Caso planeje usar o Cloud Firewall por um período prolongado, recomendamos adquirir uma subscription. Alternativamente, combine o modelo de pagamento conforme o uso com uma savings plan para reduzir seus custos.

Liberar recursos e parar o faturamento

Se não precisar mais da instância do Cloud Firewall criada neste guia, acesse a página Overview e, no canto superior direito, escolha More > Self-service Release.