O ApsaraDB RDS oferece várias camadas integradas de proteção de dados. A Alibaba Cloud protege a infraestrutura subjacente, e você configura os controles de acesso das suas instâncias.
Como funciona
A segurança do RDS atua em três camadas, do perímetro de rede para o interior:
|
Camada |
Mecanismo |
Função |
|
Perímetro de rede |
Detecção e mitigação de ataques DDoS |
Bloqueia tráfego malicioso antes que ele alcance suas instâncias |
|
Controle de acesso |
Listas de permissões de endereços IP e isolamento de contas |
Restringe quem pode se conectar e quais recursos podem ser acessados |
|
Isolamento de sistema |
Firewalls, acesso restrito ao host e conexões apenas de entrada |
Limita a superfície de ataque de cada instância |
Prevenção contra ataques DDoS
Instâncias do RDS expostas à Internet estão vulneráveis a ataques de negação de service distribuída (DDoS). Ao detectar um ataque, o sistema de segurança responde em duas etapas:
Filtragem de tráfego — Filtra o tráfego de entrada malicioso e permite a passagem de solicitações legítimas.
Filtragem blackhole — Se a filtragem de tráfego for ineficaz ou se o volume do ataque exceder o limiar definido, o sistema aciona essa filtragem para proteger a disponibilidade da instância.
Recomendamos acessar as instâncias do RDS pela rede interna para evitar ataques DDoS. Para mais detalhes, consulte Proteção contra ataques.
Controle de acesso
O RDS oferece dois mecanismos para controlar o acesso aos seus bancos de dados:
|
Mecanismo |
Descrição |
|
Lista de permissões de endereços IP |
Apenas solicitações originadas de endereços IP presentes na lista de permissões podem se conectar à instância do RDS |
|
Isolamento de contas |
Os recursos entre contas da Alibaba Cloud são logicamente isolados — cada conta visualiza e gerencie exclusivamente seus próprios bancos de dados |
Para mais detalhes, consulte Controle de acesso.
Segurança do sistema
Cada instância do RDS conta com os seguintes controles de segurança no nível do sistema:
|
Controle |
Descrição |
|
Firewalls multicamada |
Bloqueiam diversos tipos de ataques baseados em rede antes que atinjam a instância |
|
Sem acesso direto ao host |
Os hosts físicos que executam instâncias do RDS não são diretamente acessíveis — as instâncias respondem apenas pelos endpoints e portas atribuídos |
|
Conexões apenas de entrada |
Instâncias do RDS não iniciam conexões de saída — elas aceitam somente solicitações de acesso recebidas |
Para mais detalhes, consulte Isolamento de rede.
Equipe especializada em segurança
Especialistas em segurança da Alibaba Cloud fornecem suporte técnico para garantir a proteção das instâncias do ApsaraDB RDS.