Elastic Compute Service：執行個體營運連接埠應限制IP訪問來源

檢查：是否存在營運連接埠所有IP開放的安全性群組

攔截：禁止營運連接埠任意IP訪問的執行個體建立操作

在組織或賬戶層面通過RAM Policy策略，主動攔截安全性群組中連接埠任意IP訪問的規則。

• 針對企業使用者：

  1. 使用阿里雲主帳號登入資來源目錄控制台，單擊左側功能表列的管控策略，建立自訂權限原則，粘貼以下JSON內容。

     限制連接埠任意IP訪問的執行個體建立、安全性群組建立與修改操作。

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Deny",
           "Action": [
             "ecs:AuthorizeSecurityGroup",
             "ecs:ConfigureSecurityGroupPermissions",
             "ecs:ModifySecurityGroupRule"
           ],
           "Resource": "*",
           "Condition": {
             "StringLike": {
               "ecs:SecurityGroupIpProtocols": [
                 "TCP"
               ]
             },
             "CIDRInRange": {
               "ecs:SecurityGroupSourceCidrIps": [
                 "0.0.0.0/0"
               ]
             }
           }
         },
         {
           "Effect": "Deny",
           "Action": [
             "ecs:CreateInstance",
             "ecs:RunInstances"
           ],
           "Resource": "*",
           "Condition": {
             "Bool": {
               "ecs:NotSpecifySecureGroupId": [
                 "true"
               ]
             }
           }
         }
       ]
     }

  2. 在資來源目錄中選擇合適的節點繫結原則，策略將對目錄下的帳號產生攔截效果。

• 針對非企業使用者：

  1. 使用阿里雲主帳號登入RAM控制台，單擊左側功能表列的權限原則，建立一條與上述內容相同的自訂策略。

  2. 通過系統管理權限策略授權將該條權限原則授權給RAM使用者、RAM使用者組或RAM角色。

修複：修改安全性群組規則

修改現有安全性群組規則，將授權對象從 0.0.0.0/0 更改為具體的、可信的IP位址區段。

1. 定位不安全的規則： 使用檢查部分的方法找到存在風險的安全性群組和規則。

2. 修改規則： 

   1. 前往ECS控制台-安全性群組，找到目標安全性群組，單擊操作列的管理規則，

   2. 找到對應的規則（例如，連接埠為22，授權對象為0.0.0.0/0的規則），單擊編輯，將授權對象更新為可信來源IP，單擊確定。