Cloud Firewall：快速使用Cloud Firewall統一防護雲上資產

步驟一：開通Cloud Firewall按量版

1. 訪問Cloud Firewall購買頁，選擇商品类型為隨用隨付2.0，並完成如下配置項。

   配置項	說明
   互連網資產自動接入防護	選擇是，自動將所有公網資產接入防火牆，並為新增資產開啟自動保護開關。後續可在控制台調整。
   日志分析與日誌分析儲存容量	建議保持預設選項以儲存訪問日誌。該配置支援對防護資產流量日誌進行即時採集、查詢、分析、加工及消費，滿足等級保護合規要求。
   服務關聯角色	為了提供流量存取控制、監控分析等功能，Cloud Firewall需要訪問您的雲端服務資源，請單擊建立服務關聯角色，系統會自動建立角色AliyunServiceRoleForCloudFW，無需手動對此角色做任何修改。

2. 仔細閱讀並選中Cloud Firewall（隨用隨付）服務合約，單擊立即購買並完成支付。

步驟二：查看公網資產與防護狀態

1. 登入Cloud Firewall控制台。在左側導覽列，單擊开关。

2. 在互聯網邊界防火牆頁簽，可查看當前阿里雲帳號下的公網資產及其防護狀態。由於在上一步購買時已啟用互連網資產自動接入防護，所有公網資產預設處於保護中狀態。

步驟三：查看入侵防禦（IPS）能力

Cloud Firewall預設啟用的入侵防禦系統（Intrusion Prevention System, IPS）可即時檢測並主動阻斷多種已知威脅，包括但不限於：網路攻擊行為、漏洞利用嘗試、暴力破解、蠕蟲擴散、挖礦活動、後門木馬通訊以及拒絕服務（DoS）攻擊。

可以通過以下步驟，對IPS規則進行查看。

1. 在左側導覽列，選擇防护配置 > IPS配置。

2. 系統預設啟用基礎防禦與虛擬補丁功能，並採用攔截-中等威胁引擎运行模式，適用於日常安全防護情境。

步驟四：配置存取控制（ACL）策略

Cloud Firewall支援為不同資產配置獨立的存取控制策略，以分別管控其入站和出站流量，實現精細化存取控制。

預設情況下，Cloud Firewall已配置如下動作為放行的策略，可以在左側導覽列防护配置 > 存取控制 > 策略配置 > 互联网边界進行查看。

當前，多數網路攻擊風險源自公網，因此需配置符合實際業務需求的安全性原則。建議使用白名單的方式，設定一條最低優先順序拒絕全部的兜底策略，並在其基礎上配置具體的允許存取策略。

1. 配置策略：前往防护配置 > 存取控制 > 策略配置 > 互联网边界頁面，進行配置：

   入方向(優先順序從高到低)：

   訪問源	目的	協議	應用	連接埠	動作
   阿里可信IP	雲資產公網IP	全部	ANY	全部	允許存取
   雲產品回源地址（如WAF、DDoS）	雲資產公網IP	全部	ANY	全部	允許存取
   可信遠端連線營運人員或Bastionhost地址	雲資產公網IP	TCP	RDP、SSH	3389、22	允許存取
   可信營運人員地址	雲資產公網IP	ICMP	ANY	-	允許存取
   全部	對外提供Web服務的雲資產公網IP	TCP	HTTPS	443	允許存取
   全部	對外提供API服務的雲資產公網IP	TCP	HTTP	相應API連接埠	允許存取
   全部	全部	全部	全部	全部	拒絕

   出方向(優先順序從高到低)：

   訪問源	目的	協議	應用	連接埠	動作
   全部	阿里可信IP、阿里可信網域名稱	全部	ANY	全部	允許存取
   全部	軟體倉庫、認證服務	全部	ANY	全部	允許存取
   全部	微軟、Google、Windows等可信網域名稱	TCP	HTTPS、HTTP	全部	允許存取
   全部	全部	UDP	ANY	53、123	允許存取
   全部	全部	ICMP	ANY	-	允許存取
   全部	全部	全部	全部	全部	拒絕

2. 調整ACL引擎模式：預設模式下，Cloud Firewall將允許存取無法識別的應用或網域名稱流量，以防止策略配置初期的誤攔截。待策略確認無誤後，請單擊右上方ACL引擎管理，將目標資產的ACL引擎模式切換為严格模式。

3. 驗證測試：策略配置完成並等待3-5分鐘後，可通過ping或curl等命令測試，然後重新整理Cloud Firewall控制台，單擊叫用次數/最近命中时间列的數字，前往日誌審計頁面查看命中日誌。