Se seus recursos de nuvem se comunicam com a Internet, mesmo que apenas para acesso de saída, implante o Cloud Firewall no ponto de saída para a Internet. Essa medida permite controlar o acesso à rede e proteger o tráfego.
Riscos de segurança
Uma instância ECS conectada à Internet fica exposta a ameaças de segurança de entrada e de saída:
-
Ameaças de entrada: Trata-se de ataques ativos originados na Internet. Atacantes varrem continuamente endereços IP públicos. Ao encontrar portas abertas, como a porta 22 para SSH, 3306 para bancos de dados ou 3389 para área de trabalho remota, eles podem invadir o sistema usando os seguintes métodos:
Exploits: Atacantes executam ataques de execução remota de código contra vulnerabilidades conhecidas em suas aplicações ou software de sistema, como Log4j ou Fastjson, para obter controle direto da instância.
Ataques de força bruta: Atacantes tentam persistentemente adivinhar senhas de serviços como SSH, RDP e bancos de dados. O uso de uma senha fraca facilita o comprometimento da instância.
Ataques web: Incluem ataques direcionados a serviços web, como injeção de SQL, cross-site scripting (XSS) e uploads de webshell.
Ataques DDoS: Atacantes usam pacotes malformados ou inundações de tráfego para exaurir os recursos da sua instância e causar interrupções no serviço.
-
Ameaças de saída: Caso sua instância seja comprometida, ela pode se tornar uma plataforma de lançamento dentro da rede do atacante. Isso pode resultar em conexões maliciosas de saída com consequências graves:
Comunicação de comando e controle (C&C): Trojans implantados ou programas de botnet conectam-se a servidores externos de C&C para receber instruções e enviar dados.
Violações de dados: Atacantes roubam dados confidenciais da sua instância e os transferem para um servidor externo.
Movimentação lateral: Ao usar sua instância comprometida como base, atacantes podem visar outras instâncias dentro da sua VPC ou lançar ataques externos, como envio de spam ou participação em ataques DDoS. Essa atividade pode incluir seu endereço IP em listas de bloqueio globais e prejudicar a reputação do seu negócio.
O Cloud Firewall utiliza tecnologias como inspeção profunda de pacotes (DPI), regras de sistema de prevenção de intrusões (IPS), inteligência de ameaças, correção virtual e políticas de controle de acesso para filtrar o tráfego de entrada e saída. Ele determina se o tráfego deve ser permitido, bloqueia efetivamente acessos não autorizados e protege o tráfego entre seus ativos públicos e a Internet.
Inspeção profunda de pacotes (DPI): O Cloud Firewall inspeciona o conteúdo do tráfego de rede, não apenas endereços IP e portas.
Sistema de prevenção de intrusões (IPS): Baseado em DPI, o IPS usa uma biblioteca com milhares de regras de assinatura de ataque para identificar e bloquear com precisão o tráfego malicioso. Isso inclui exploits, ataques de força bruta, trojans de mineração e webshells, mesmo que o tráfego use portas abertas intencionalmente.
Integração com inteligência de ameaças: O Cloud Firewall integra-se em tempo real ao banco de dados global da Alibaba Cloud contendo endereços IP e domínios maliciosos. Ele bloqueia automaticamente tentativas de conexão de IPs maliciosos conhecidos e servidores de comando e controle (C&C) de botnets.
Correção virtual: Antes do lançamento de uma correção oficial de software ou sistema, o Cloud Firewall pode atualize suas regras de IPS para fornecer uma "correção virtual" temporária. Isso ajuda a bloquear exploits para vulnerabilidades de dia zero antes que os atacantes possam explorá-las.
Melhores práticas
Ative o Internet Firewall e proteja ativos públicos
-
Ative a proteção para seus ativos.
Faça login no console do Cloud Firewall.
No painel de navegação à esquerda, clique em Firewall.
-
Na aba Internet Firewall, clique em na aba IPv4 ou IPv6 para ativar manualmente a proteção de um ativo público.
Se o ativo que você deseja proteger não aparecer na lista de ativos públicos, clique em Synchronize Assets no canto superior direito. Essa ação sincroniza os ativos da sua conta atual da Alibaba Cloud e de suas contas membros. O processo de sincronização leva cerca de 1 a 2 minutos.
-
Ativar proteção para um único ativo
Na lista de ativos públicos, localize o ativo que deseja proteger e clique em Enable Protection na coluna Actions.
-
Ativar proteção para vários ativos
Na lista de ativos públicos, selecione os ativos a serem protegidos e clique em Enable Protection abaixo da lista.
Também é possível clique em Enable Protection na área de estatísticas para ativar a proteção do Internet Firewall para todos os ativos públicos simultaneamente, agrupados por dimensões como IP público, região e tipo de ativo.
-
Use o firewall para controle de acesso
Negue acesso de regiões estrangeiras: Estatísticas mostram que muitos ataques se originam de endereços IP estrangeiros. Restringir o acesso desses locais ajuda a reduzir sua superfície de ataque. Para mais informações, consulte Configure uma política para negar acesso de host de regiões estrangeiras.
Restrinja domínios acessíveis por uma instância ECS: O acesso de saída à Internet a partir de hosts internos geralmente deve ser restrito. Por exemplo, se uma instância precisa apenas baixe imagens ou pacotes de instalação de sites externos, permita apenas protocolos web para acesso à Internet. Para mais informações, consulte Configure uma política para permitir que uma instância pública acesse um domínio específico e Configure uma política para permitir que uma instância privada acesse um domínio específico.
Para conhecer outras melhores práticas, consulte Melhores práticas de controle de acesso.
Defenda-se contra ataques comuns
Proteja bancos de dados: As principais ameaças a bancos de dados incluem ataques de força bruta, vulnerabilidades de aplicação, operações maliciosas de leitura/gravação de arquivos, execução de comandos, roubo de informações e extração de dados. O Cloud Firewall oferece análise profunda de tráfego, detecção de ameaças e capacidades de bloqueio para os principais softwares de banco de dados. Para mais informações, consulte Melhores práticas para defesa de bancos de dados.
Proteja contra worms: Worms se espalham ativamente pelas redes explorando vulnerabilidades de serviços. Eles podem causar interrupções de serviço, roubo de informações, bloqueios regulatórios e ataques de ransomware. O Cloud Firewall fornece defesa em camadas contra toda a cadeia de ataque de worms ao detectar e bloquear vários worms e suas variantes. Ele atualize continuamente essas capacidades com base na evolução do cenário de segurança para impedir a propagação de worms. Para mais informações, consulte Melhores práticas para defesa contra worms.
Proteja contra ameaças à segurança do sistema: Os riscos de segurança do sistema incluem configurações inadequadas (como portas abertas desnecessárias, senhas fracas e políticas de segurança frágeis) e vulnerabilidades do sistema (como execução remota de código, negação de serviço e divulgação de informações). O módulo IPS do Cloud Firewall monitora tendências de ataque em toda a rede, bloqueia proativamente tentativas de varredura e intrusão, intercepta exploits de alto risco e impede reverse shells e vazamentos de arquivos do sistema. Para mais informações, consulte Melhores práticas para defesa da segurança do sistema.
Proteja contra programas de mineração: O módulo IPS do Cloud Firewall usa inteligência de ameaças e correção virtual para rastrear e defender contra exploits de rede usados por worms de mineração, bloqueando assim sua propagação. Além disso, o recurso de conscientização sobre violações no Cloud Firewall detecta worms de mineração, identifica instâncias infectadas e permite a correção oportuna. Para mais informações, consulte Melhores práticas para defesa contra programas de mineração.