Elastic Compute Service:Restrict source IP addresses for instance O&M ports

Verificação: Identificar grupos de segurança com acesso irrestrito às portas de O&M

Bloqueio: Impedir criação de instâncias com acesso irrestrito às portas de O&M

Use uma política do RAM para bloquear regras de grupo de segurança que permitam acesso de qualquer endereço IP (0.0.0.0/0).

• Para usuários corporativos:

  1. Faça login no console do Resource Directory com uma conta Alibaba Cloud. No menu lateral esquerdo, clique em Control Policies. Crie uma política personalizada e cole o seguinte conteúdo JSON.

     Esta política nega operações que criam instâncias ou modificam grupos de segurança para permitir acesso de qualquer endereço IP.

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Deny",
           "Action": [
             "ecs:AuthorizeSecurityGroup",
             "ecs:ConfigureSecurityGroupPermissions",
             "ecs:ModifySecurityGroupRule"
           ],
           "Resource": "*",
           "Condition": {
             "StringLike": {
               "ecs:SecurityGroupIpProtocols": [
                 "TCP"
               ]
             },
             "CIDRInRange": {
               "ecs:SecurityGroupSourceCidrIps": [
                 "0.0.0.0/0"
               ]
             }
           }
         },
         {
           "Effect": "Deny",
           "Action": [
             "ecs:CreateInstance",
             "ecs:RunInstances"
           ],
           "Resource": "*",
           "Condition": {
             "Bool": {
               "ecs:NotSpecifySecureGroupId": [
                 "true"
               ]
             }
           }
         }
       ]
     }

  2. Selecione um nó adequado no diretório de recursos e anexe a política. A política bloqueará essas operações para todas as contas sob esse nó.

• Para usuários não corporativos:

  1. Faça login no console do RAM com sua conta Alibaba Cloud. No painel de navegação à esquerda, clique em Permission Policy. Crie uma política personalizada com o mesmo conteúdo JSON.

  2. Conceda a política a um usuário RAM, grupo de usuários RAM ou função RAM.

Correção: Restringir regras de grupo de segurança

Altere o objeto de autorização de 0.0.0.0/0 para um intervalo de endereços IP confiáveis.

1. Localize regras inseguras: Use os métodos descritos na seção Verificação para encontrar grupos de segurança com acesso irrestrito às portas de O&M.

2. Modifique as regras:

   1. Acesse a página Console ECS - Grupos de Segurança. Localize o grupo de segurança desejado e clique em Manage Rules na coluna Operation.

   2. Encontre a regra (por exemplo, porta 22 com 0.0.0.0/0 como objeto de autorização). Clique em Modify, atualize o objeto de autorização para um endereço IP de origem confiável e clique em OK.