Elastic Compute Service:Best practices for ECS instance security

Contexto

A Alibaba Cloud protege a infraestrutura subjacente, como data centers e plataformas de virtualização. Você é responsável por seguir as melhores práticas de segurança: proteger suas contas, manter a confidencialidade das informações e controlar permissões.

Tendências de segurança na cloud

Ameaças à cibersegurança

A transição para arquiteturas baseadas em cloud introduz novos desafios de segurança. Uma única operação acidental pode expor aplicações à Internet ou vazar chaves. A segurança e a conformidade são essenciais para sua jornada na cloud.

Prepare-se para proteger ativos de informação na cloud

Proteja ativos de informação na cloud

A segurança em cloud utiliza políticas, controles e tecnologias para proteger dados, infraestrutura e aplicações contra ameaças externas e internas. Para garantir a conformidade, desenvolva aplicações baseadas em cloud com segurança desde o início.

Proteja contas Alibaba Cloud

Ative MFA para contas

Ative a MFA para sua conta Alibaba Cloud. A MFA exige códigos de segurança além de nomes de usuário e senhas, gerados dinamicamente por dispositivos MFA.

Use usuários RAM com políticas de privilégio mínimo

Use funções RAM de instância em vez de pares AccessKey para chamar operações de API

Aplicações implantadas em instâncias ECS geralmente acessam outras APIs da Alibaba Cloud usando pares AccessKey. No entanto, armazenar pares AccessKey em instâncias traz riscos de segurança, como vazamentos e dificuldades de manutenção. As funções RAM de instância abordam esses riscos usando RAM para controle de permissões refinado sem expor pares AccessKey.

Anexe uma função RAM de instância a uma instância ECS e use uma credencial temporária do Security Token Service (STS) para acessar outras APIs da Alibaba Cloud. Após anexar a função, acesse os metadados da instância no modo de fortalecimento de segurança. A credencial temporária STS é atualizada periodicamente. Consulte {{XREF_13}}.

Previna vazamentos de pares AccessKey

Os pares AccessKey são credenciais de API e devem ser mantidos seguros. Não os exponha em canais externos, como GitHub. Se seu par AccessKey for divulgado, seus recursos estarão em risco.

Sugestões de segurança para gerenciamento de contas e senhas

Gerencie ativos de informação em massa

Gerencie e audite recursos cloud em massa para evitar que ativos fiquem desprotegidos devido a configurações incorretas. Use convenções uniformes de implantação e nomenclatura para instâncias e grupos de segurança e verifique periodicamente se há recursos não conformes. Utilize tags para gerenciamento em massa, Cloud Assistant para O&M automatizado e CloudConfig para auditorias de conformidade.

Use tags para gerenciar recursos em massa

• Utilize tags para identificar, categorizar e localizar recursos cloud em massa. Em um incidente de segurança, as tags ajudam a identificar rapidamente o escopo e a gravidade.

• Configure políticas de segurança com tags específicas para recursos, como grupos de segurança, de uma só vez.

Consulte {{XREF_15}}.

Use o Cloud Assistant para automatizar O&M em canais de recursos

Use o CloudConfig para realizar auditorias de conformidade em recursos

O CloudConfig avalia e monitora a conformidade dos recursos cloud. Ele agrega recursos entre regiões, registra alterações de configuração em linhas do tempo e gera alertas para configurações não conformes. Consulte {{XREF_17}}

Configure a segurança ao criar instâncias

Hospede negócios que exigem alta segurança em instâncias com segurança aprimorada

Criptografe discos para proteger dados armazenados sem modificar negócios ou aplicações. Snapshots criados a partir de discos criptografados e discos criados a partir desses snapshots também são criptografados. Tanto discos de sistema quanto discos de dados podem ser criptografados. Consulte {{XREF_20}}.

Acesse os metadados da instância no modo de fortalecimento de segurança. Nesse modo, uma sessão é estabelecida entre a instância e o servidor de metadados, e o servidor autentica sua identidade com um token. Quando o token expira, a sessão é encerrada. Limites de token:

• Cada token só pode ser usado para uma única instância ECS. O acesso com o token de outra instância é negado.

• Cada token tem um período de validade de 1 a 21.600 segundos (6 horas). Os tokens podem ser reutilizados até expirarem.

• O acesso via proxy não é suportado. Solicitações com o cabeçalho X-Forwarded-For são negadas.

• Um número ilimitado de tokens pode ser emitido para cada instância.

Isole e proteja recursos de rede

A VPC abstrai redes físicas em redes virtuais seguras e isoladas na camada de enlace de dados. As VPCs são totalmente isoladas e conectam-se apenas por meio de endereços IP elásticos ou endereços IP NAT. Você pode configurar intervalos de endereços IP, blocos CIDR, tabelas de rotas e gateways dentro de cada VPC. Conecte data centers on-premises a VPCs usando VPN Gateway, Express Connect ou Smart Access Gateway (SAG). Conecte redes em todo o mundo usando Cloud Enterprise Network (CEN).

As redes são vulneráveis a ciberataques. Na Alibaba Cloud, controle o acesso a VPCs usando grupos de segurança, ACLs de rede, políticas de roteamento ou circuitos Express Connect. Configure também Cloud Firewall, WAF e Anti-DDoS para proteção contra ameaças externas.

Siga as sugestões de segurança para isolar recursos de rede

Construa um ambiente de rede seguro

• Configure adequadamente os grupos de segurança para isolar redes e reduzir a superfície de ataque

  Os grupos de segurança controlam o acesso de rede de e para instâncias ECS. Configure regras para filtrar o tráfego por porta e endereço IP para reduzir a superfície de ataque.

  Por exemplo, a porta 22 é a porta SSH padrão em instâncias Linux. Deixá-la aberta representa riscos de segurança. Configure regras para permitir que apenas endereços IP específicos acessem a porta 22 ou use VPN para criptografar dados de logon.

  Sugestão	Descrição	Referências
  Princípio do privilégio mínimo	Os grupos de segurança devem funcionar como listas de permissões. Abra apenas as portas necessárias e aloque apenas os endereços IP públicos necessários. Use VPN Gateway ou Bastionhost para solução de problemas. Configurações incorretas podem expor portas ou endereços IP à Internet. Abra apenas as portas exigidas pelo negócio nos grupos de segurança, tanto para tráfego de Internet quanto de rede interna. Para portas de serviço de alto risco, permita acesso apenas de endereços IP específicos. Para backends de gerenciamento de serviço HTTP, permita acesso apenas de endereços IP específicos e ative o WAF para o nome de domínio.	{{XREF_23}}
  Não defina 0.0.0.0/0 como objeto de autorização nas regras do seu grupo de segurança.	Permitir todo o acesso de entrada é um erro comum. 0.0.0.0/0 significa todos os endereços IP. Uma regra com este objeto de autorização abre todas as portas para acesso externo. Negue o acesso em todas as portas por padrão e, em seguida, permita apenas as portas necessárias, como 80, 8080 e 443.	{{XREF_24}}
  Desative regras de grupo de segurança de entrada que não são mais necessárias.	Se uma regra incluir 0.0.0.0/0, revise as portas que suas aplicações expõem. Para portas que não devem fornecer serviços externos, adicione uma regra de Negação. Por exemplo, se o MySQL for executado na porta 3306, adicione uma regra de Negação com a prioridade mais baixa (100).	{{XREF_25}}
  Referencie grupos de segurança como objetos de autorização nas regras de grupo de segurança.	Adicione regras com base no princípio do privilégio mínimo. Diferentes camadas de aplicação devem usar diferentes grupos de segurança com regras de entrada e saída apropriadas. Para aplicações distribuídas com grupos de segurança que não são mutuamente acessíveis, adicione regras que referenciem grupos de segurança (em vez de endereços IP ou blocos CIDR) como objetos de autorização para permitir acesso mútuo. Por exemplo, crie sg-web para a camada web e sg-database para a camada de banco de dados. Em sg-database, adicione uma regra que referencie sg-web para permitir acesso na porta 3306.	{{XREF_26}}
  Configure nomes e tags apropriados para grupos de segurança.	Nomes e descrições claros ajudam a identificar grupos de segurança. Adicione tags aos grupos de segurança via console ECS ou API para facilitar a pesquisa e o gerenciamento.	{{XREF_27}} {{XREF_28}}
  Adicione instâncias ECS que exigem acesso mútuo ao mesmo grupo de segurança.	Cada instância ECS pode pertencer a até cinco grupos de segurança. Instâncias no mesmo grupo de segurança se comunicam pela rede interna. Se você tiver vários grupos de segurança, crie um novo grupo e adicione instâncias que precisam de comunicação de rede interna. Não adicione todas as instâncias ao mesmo grupo de segurança. Para aplicações distribuídas, cada instância desempenha uma função diferente e precisa de regras de entrada e saída específicas.	{{XREF_29}}
  Isole instâncias dentro de um grupo de segurança.	Os grupos de segurança atuam como firewalls virtuais com Stateful Packet Inspection (SPI). Instâncias no mesmo grupo de segurança compartilham a mesma região e requisitos de segurança. A Alibaba Cloud ajusta as políticas de controle de acesso interno para isolar instâncias dentro de um grupo de segurança.	{{XREF_30}}
  Use regras quíntuplas de grupo de segurança.	Os grupos de segurança controlam o acesso de rede a instâncias ECS e fornecem isolamento lógico de segurança. Regras quíntuplas permitem controle de acesso preciso com base em IP de origem, porta de origem, IP de destino, porta de destino e protocolo da camada de transporte.	{{XREF_31}}
  Adicione instâncias ECS que fornecem serviços voltados para a Internet e aquelas que fornecem serviços voltados para a rede interna em grupos de segurança diferentes.	As aplicações em uma instância ECS podem ser acessíveis pela Internet quando a instância expõe portas (como 80 e 443) ou usa regras de encaminhamento de porta (como encaminhamento de porta NAT ou encaminhamento baseado em EIP). Aplique as regras de grupo de segurança mais restritivas. Negue todos os protocolos e portas por padrão e, em seguida, permita apenas as portas exigidas por serviços externos, como 80 e 443. Instâncias voltadas para a Internet no mesmo grupo de segurança devem ter responsabilidades claras. Implante serviços de backend como MySQL e Redis em instâncias sem acesso à Internet e, em seguida, use regras de grupo de segurança para permitir o acesso de grupos de segurança específicos.	{{XREF_32}}

• Configure domínios de segurança para isolar serviços de diferentes níveis de segurança dentro da sua organização

  Construa redes privadas com VPCs para hospedar servidores de diferentes níveis de segurança separadamente. Crie uma VPC, atribua um bloco CIDR, configure tabelas de rotas e gateways e armazene dados importantes nesta VPC logicamente isolada. Use um EIP ou servidor de salto para O&M diário. Consulte {{XREF_33}}.

• Use servidores de salto ou Bastionhost para proteger contra intrusões internas e externas

  Servidores de salto têm permissões amplas. Use o Bastionhost para registrar e auditar todas as operações de O&M, detectar anomalias e atribuir ações a pessoal específico.

  Atribua o servidor de salto a um vSwitch dedicado em uma VPC e associe a tabela de encaminhamento de porta EIP ou NAT correspondente. Crie um grupo de segurança dedicado (SG_BRIDGE) e abra apenas as portas necessárias (TCP 22 para Linux, RDP 3389 para Windows). Restrinja o acesso de entrada a endereços IP públicos específicos da sua organização. Para conceder ao servidor de salto acesso a outro grupo de segurança (SG_CURRENT), adicione uma regra permitindo acesso de SG_BRIDGE sobre protocolos e portas específicos. Para SSH, use pares de chaves em vez de senhas. Consulte {{XREF_34}}.

• Atribua adequadamente endereços IP públicos para reduzir a superfície de ataque exposta à Internet

  A alocação adequada de IP público reduz a superfície de ataque. Para instâncias VPC, conecte instâncias que precisam de acesso à Internet a alguns vSwitches designados para facilitar a auditoria.

  • Não atribua endereços IP públicos a instâncias que não fornecem serviços de Internet. Para várias instâncias voltadas para a Internet, use SLB para distribuir o tráfego. Consulte {{XREF_35}}.

  • Para instâncias que precisam de acesso de saída à Internet, mas não possuem IPs públicos, use gateways NAT. Configure entradas SNAT para blocos CIDR ou sub-redes específicos para evitar expor serviços à Internet. Consulte {{XREF_36}}

Use serviços de segurança para construir um sistema de defesa de segurança

Use Anti-DDoS Origin Basic (gratuito), Anti-DDoS Pro e Anti-DDoS Premium para mitigar ataques DDoS

Ataques DDoS inundam alvos com tráfego fraudulento de vários sistemas comprometidos. O Alibaba Cloud Security Center defende contra ataques da Camada 3 à Camada 7, incluindo ataques de inundação SYN, UDP, ACK, ICMP, DNS e HTTP. O Anti-DDoS Origin Basic fornece até 5 Gbit/s de mitigação DDoS gratuitamente.

O Anti-DDoS Origin Basic é ativado em instâncias ECS por padrão, mantendo o acesso normal durante ataques DDoS sem a compra de dispositivos de limpeza. Após criar uma instância, defina seu {{XREF_37}}.

Use o Security Center Basic gratuitamente para proteger contra exploração de vulnerabilidades do sistema

O Security Center é um sistema centralizado de gerenciamento de segurança que identifica, analisa e alerta sobre ameaças em tempo real. Os recursos incluem anti-ransomware, antivírus, prova de adulteração web e verificações de conformidade.

O Security Center Basic está disponível por padrão e verifica logons incomuns, vulnerabilidades e riscos de configuração de serviços cloud. Para recursos avançados, como detecção de ameaças, correção de vulnerabilidades e remoção de vírus, adquira uma edição paga no console Security Center. Consulte {{XREF_38}}.

Use WAF para proteger contra exploração de vulnerabilidades do sistema

O WAF protege aplicações web contra ataques comuns OWASP e ataques de inundação HTTP, incluindo injeções SQL, ataques XSS, webshells, trojans e acesso não autorizado. O WAF bloqueia tráfego malicioso para evitar vazamentos de dados e garantir a segurança e disponibilidade do site. Consulte {{XREF_39}}.

Proteção antivírus

O ECS fornece infraestrutura de computação — CPUs, memória, armazenamento e rede — e não inclui software antivírus integrado. Para proteger suas instâncias contra vírus e malware, considere as seguintes opções:

• Use os recursos antivírus do Security Center: O Security Center (edição Antivírus e superior) fornece detecção e remoção de vírus, detecção de arquivos maliciosos e proteção contra ransomware, com verificação em tempo real e correção com um clique. Consulte {{XREF_41}}.

• Ative o Windows Defender em instâncias Windows: Imagens públicas do Windows Server incluem o Windows Defender. Você pode ativá-lo como uma solução antivírus básica integrada sem custo adicional.

• Instale software antivírus de terceiros: Você pode instalar software antivírus empresarial em suas instâncias com base nos requisitos do seu negócio. Garanta compatibilidade com seu sistema operacional e avalie o possível impacto no desempenho antes da implantação.

Proteja aplicações em sistemas operacionais convidados de instâncias

Configure definições de segurança para garantir logons seguros em instâncias ECS

Por padrão, uma conta não root pode fazer logon em uma instância ECS. Conceda permissões administrativas usando su ou sudo. A conta root não pode fazer logon com um arquivo de chave PEM por padrão. Para instâncias Linux, configure apenas logon baseado em par de chaves RSA. Para instâncias Windows, use senhas complexas com pelo menos oito caracteres e caracteres especiais.

Use Cloud Monitor, ActionTrail, Log Audit Service, logs de fluxo VPC e logs de aplicações para construir um sistema de monitoramento e alerta para acesso anormal a recursos e permissões.

• Use o Cloud Monitor para definir limiares de alerta de uso de recursos e prevenir ataques DDoS. Consulte {{XREF_45}}

• Use o ActionTrail para detectar acesso não autorizado, configurações de segurança incorretas e operações de alto risco. O ActionTrail também suporta auditoria de conformidade e detecção de ameaças. Use MFA para controlar o acesso ao ActionTrail. Consulte {{XREF_46}}

• Ative o recurso {{XREF_47}} na VPC para registrar o tráfego de ENI de entrada e saída.

• Use o Log Audit Service para coletar, analisar e visualizar dados e gerar alertas para cenários como DevOps, operações, segurança e auditoria. Consulte {{XREF_49}}.

• Rastreie logs de eventos de aplicação e logs de chamadas de API.

• Sincronize todos os logs para SLS ou OSS regularmente e configure permissões de acesso.

• Adicione IDs de instância, regiões, zonas e ambientes (teste ou produção) aos logs para facilitar a solução de problemas.