Como reduzir o risco de perdas financeiras por tráfego malicioso - Object Storage Service: Central de Documentação do Alibaba Cloud

Ataques maliciosos ou tráfego fraudulento direcionados aos seus buckets podem provocar picos repentinos no uso de largura de banda e na transferência de dados, resultando em faturas inesperadamente altas. Siga estas práticas recomendadas de segurança para reduzir o risco de incidentes onerosos.

Importante

Estas práticas recomendadas são orientações gerais, não uma solução de segurança abrangente. Elas podem não ser adequadas ao seu ambiente ou requisitos específicos. Incorpore-as a uma estratégia de segurança mais ampla e mantenha a vigilância constante sobre a proteção de dados e conteúdos.

Riscos de perda financeira significativa

Ataques maliciosos ou tráfego fraudulento em seu bucket podem gerar os seguintes riscos financeiros:

Faturas elevadas: Ataques maliciosos consomem a largura de banda do Object Storage Service (OSS), e você é responsável pelas cobranças resultantes.
Valores que excedem o saldo da conta: O OSS é um serviço de pagamento conforme o uso, e os valores das faturas sofrem influência de fatores como ciclos de faturamento e atrasos no processamento. Por isso, a suspensão do serviço não ocorre imediatamente quando o saldo da conta chega a zero. Isso pode resultar em um pagamento em atraso . Caso seu bucket seja alvo de um ataque malicioso ou sofra roubo de tráfego, você poderá incorrer em cobranças elevadas. O risco associado é que o valor faturado frequentemente excederá o saldo disponível na sua conta.

Bloquear acesso público

O OSS permite acesso público por meio de políticas de bucket e ACLs, o que significa que qualquer pessoa pode acessar seus recursos sem autenticação. Essa configuração cria riscos de violação de dados e custos elevados de tráfego decorrentes de atividades maliciosas. Para mitigar esses riscos, o OSS oferece o recurso Block Public Access, ativável com um clique nos níveis global, de bucket, de ponto de acesso ou de ponto de acesso do Function Compute. Após a ativação, o Block Public Access substitui as permissões públicas existentes e impede a criação de novas, protegendo seus dados contra exposição pública. Para mais informações, consulte Block Public Access.

Acessar recursos do OSS via PrivateLink

O PrivateLink estabelece uma conexão privada e segura entre sua VPC e o OSS, evitando os riscos de segurança do acesso pela internet pública. Uma conexão privada aumenta a segurança dos dados e reduz o risco de custos excessivos por tráfego malicioso. Os benefícios incluem:

Isolamento: O PrivateLink garante que seus recursos do OSS sejam acessíveis apenas de dentro da sua VPC autorizada, prevenindo ataques originados na internet.
Controle de permissões: Um endpoint de VPC permite aplicar controles de acesso granulares, como restringir o acesso a endereços IP ou sub-redes específicas, ou impor regras específicas de grupo de segurança.
Monitoramento de tráfego: Serviços implantados dentro da sua VPC possibilitam melhor monitoramento e gerenciamento do tráfego de rede, permitindo detectar anomalias rapidamente e prevenir acessos maliciosos.

Para mais informações, consulte Acessar o OSS via PrivateLink.

Definir permissões de ACL como privadas

Não defina a lista de controle de acesso (ACL) de um bucket ou objeto como public-read ou public-read-write, a menos que seja estritamente necessário permitir que qualquer pessoa leia ou grave em seus recursos do OSS. As seguintes permissões se aplicam caso você conceda acesso público:

public-read-write: Qualquer pessoa pode ler e gravar objetos no bucket.

Aviso
Essa configuração permite que qualquer usuário na internet acesse seus objetos e faça upload de novos objetos para o seu bucket. Tal cenário pode levar à exfiltração de dados, aumentos inesperados de custos e possíveis problemas legais caso conteúdo malicioso ou ilegal seja carregado. A menos que seja absolutamente necessário para um caso de uso específico, recomendamos fortemente não conceder permissões public-read-write.
public-read: Apenas o proprietário do bucket pode gravar objetos nele, mas qualquer pessoa pode lê-los.

Aviso
Essa opção permite que qualquer usuário na internet acesse seus objetos, o que pode resultar em exfiltração de dados e aumentos inesperados de custos. Utilize essa permissão com cautela.

Para evitar esses riscos de segurança, recomendamos fortemente definir a ACL dos seus buckets e objetos como private. Antes de alterar uma ACL para private, verifique se a mudança não afetará suas aplicações ou serviços.

Para obter etapas detalhadas, consulte Definir ACL de bucket e Definir ACL de objeto.

Configurar regras de alerta do CloudMonitor

Crie regras de alerta no CloudMonitor para acompanhar o uso e o status dos seus recursos do OSS. Quando uma métrica ultrapassa um limiar predefinido, o CloudMonitor envia um alerta para que você identifique e resolva anomalias rapidamente.

Por exemplo, configure uma regra de alerta para um bucket que dispare quando uma métrica, como tráfego de entrada ou saída público, atingir 100 MB ou mais em um minuto. As informações do alerta são então gravadas em um Logstore especificado no Simple Log Service.

O exemplo a seguir mostra como configurar uma regra de alerta disparada quando o tráfego de entrada público atinge 100 MB ou mais:

Na caixa de diálogo Create Alert Rule, defina Product como Object Storage Service (OSS), Resource Range como Instance e Associate Resources como examplebucket. Defina Rule Name como alert e a condição de alerta como (Bucket)Public Inbound Traffic ≥ 100 Mbytes por um período consecutivo. Defina Mute For como 24 hours e Effective Period de 00:00 a 23:59. Selecione group1 para Contact Group. Em Advanced Settings, ative Simple Log Service. Para Region, selecione China (Hangzhou) e configure o ProjectName e o Logstore correspondentes. Mantenha outras opções, como Auto Scaling, Message Service (MNS)—topic e Function Compute, desativadas. Em Method to Process No Data, selecione Do not process.

Configure regras de alerta para um bucket específico ou para todos os recursos do OSS na sua conta Alibaba Cloud. Para mais informações, consulte Criar uma regra de alerta.

Configurar proteção contra hotlink

Configure regras de acesso baseadas em Referer no OSS para impedir que referenciadores não autorizados acessem seus objetos. Essa medida bloqueia hotlinking de outros sites e protege você contra custos desnecessários de tráfego.

Quando um navegador envia uma solicitação ao OSS, o cabeçalho da requisição inclui um Referer que indica a origem. Se a proteção contra hotlink estiver configurada, o OSS avalia o Referer em relação às regras definidas para permitir ou negar a solicitação:

Caso o Referer da solicitação corresponda a uma entrada na lista de bloqueios ou não corresponda a nenhuma entrada na lista de permissões, o OSS nega a solicitação.
Se o Referer da solicitação corresponder a uma entrada na lista de permissões, o OSS permite a solicitação.

Considere, por exemplo, um bucket com uma lista de permissões de Referer contendo https://10.10.10.10.

O Usuário A incorpora uma imagem, test.jpg, armazenada no bucket, no site https://10.10.10.10. Quando um navegador solicita essa imagem, o cabeçalho da requisição inclui https://10.10.10.10 como Referer. Nesse caso, o OSS permite a solicitação.
O Usuário B faz hotlink da imagem test.jpg e a incorpora no site https://192.168.0.0. Ao solicitar essa imagem, o cabeçalho da requisição do navegador inclui https://192.168.0.0 como Referer. Nessa situação, o OSS nega a solicitação.

Para mais informações, consulte Proteção contra hotlink.

Configurar compartilhamento de recursos de origem cruzada (CORS)

O compartilhamento de recursos de origem cruzada (CORS) é um mecanismo padrão que permite aos servidores web controlar o acesso de diferentes origens, garantindo transferências de dados seguras entre origens distintas. Os navegadores aplicam uma política de mesma origem para isolar arquivos potencialmente maliciosos. Por padrão, o navegador bloqueia uma solicitação se um código JavaScript de uma origem tentar acessar um recurso de outra origem.

O OSS permite configurar regras de CORS para permitir ou negar solicitações de origem cruzada. Por exemplo, para permitir apenas solicitações da origem www.aliyun.com com o método de solicitação de origem cruzada GET, configure a regra de CORS da seguinte forma:

Na caixa de diálogo Create CORS Rule, deixe Allowed Headers e Exposed Headers vazios. Defina Cache Time (s) como 0 e deixe Vary: Origin desmarcado.

Para mais informações, consulte Configurar CORS.

Evitar prefixos sequenciais em nomes de objetos

Ao fazer upload de um grande volume de objetos, o uso de prefixos sequenciais previsíveis — como carimbos de data/hora, sequências alfabéticas, datas ou IDs numéricos — permite que invasores adivinhem e recuperem todos os seus objetos iterando pelo padrão de nomenclatura. Esse comportamento pode causar vazamentos de dados. Adicione um prefixo de hash hexadecimal aleatório aos nomes dos seus objetos ou inverta os caracteres do nome para reduzir significativamente o risco de enumeração de nomes de objetos. Para mais informações, consulte Segurança de dados.