Alibaba Cloud Cloud Firewall; internet, VPC ve NAT sınırları genelinde cloud varlıklarınız için birleşik güvenlik yalıtımı ve kontrolü sağlayan bir Hizmet Olarak Yazılım (SaaS) güvenlik duvarıdır. Cloud işiniz için ağ savunmasının ilk hattını oluşturur.
Kullanım senaryoları
Cloud Firewall aşağıdaki tipik senaryolar için uygundur:
-
Cloud veri merkezleri için kurumsal düzeyde güvenlik
Cloud'a geçiş yapan veya büyük ölçekli veri merkezleri kuran şirketler için idealdir. Cloud Firewall; internet, NAT, VPC ve ana bilgisayar sınırları genelinde birleşik trafik kontrolü ve tehdit koruması sağlar. Genel saldırı yüzeyini azaltır, yatay hareket saldırılarını engeller ve veri sızmasını önler.
-
Hibrit cloud'lar ve cloud tabanlı DMZ'ler için gelişmiş koruma
Hizmetlerin hem şirket içi veri merkezlerinde hem de cloud'da dağıtıldığı veya DMZ'nin cloud'a taşındığı senaryolar için uygundur. Cloud Firewall, DMZ'deki kuzey-güney trafiğini ve veri merkezleri ile VPC'ler arasındaki doğu-batı trafiğini koruyarak hibrit cloud ortamında güvenli iletişimi sağlar.
-
Çoklu hesaplar için birleşik güvenlik yönetimi
Kaynakları birden fazla Alibaba Cloud hesabına dağıtılmış şirketler için idealdir. Cloud Firewall, Resource Directory ile entegre olarak varlık yönetimini, ilke yapılandırmasını, trafik analizini ve günlük denetimini tek bir konsolda merkezileştirir ve güvenlik operasyon maliyetlerini düşürür.
-
Yüksek riskli senaryolar ve karşıt taraflı tatbikatlar için güvenlik
Büyük etkinlikler ve güvenlik tatbikatları gibi yüksek riskli senaryolar için uygundur. Cloud Firewall; IP adreslerinin veya alan adlarının toplu olarak engellenmesi, saldırı izleme ve sıfırıncı gün açıklıkları için sanal yamalama gibi özellikleri destekleyerek özel güvenlik gereksinimlerini karşılar.
Neden Cloud Firewall'ı seçmelisiniz
Geleneksel donanım güvenlik duvarlarıyla karşılaştırıldığında Cloud Firewall aşağıdaki temel avantajları sunar:
-
Anında etkinleştirme, kullanıma hazır
Ağ mimarinizde değişiklik yapmadan İnternet güvenlik duvarını tek tıklamayla etkinleştirebilir ve dağıtım ile yapılandırma maliyetlerini önemli ölçüde azaltabilirsiniz.
-
Birleşik sınır kontrolü, entegre koruma
Cloud Firewall; internet, NAT, VPC ve ana bilgisayar sınırları için birleşik trafik kontrolü sağlayarak hem kuzey-güney hem de doğu-batı trafiği için erişim kontrolü, tehdit algılama ve günlük denetiminin entegre yönetimini mümkün kılar.
-
Akıllı savunma, proaktif tehdit engelleme
Yerleşik sızma önleme (IPS) motorunu ve kapsamlı tehdit istihbaratını kullanan Cloud Firewall; açıklık istismarları, kaba kuvvet saldırıları, kripto madenciliği programları ve arka kapılar dahil olmak üzere kötü amaçlı trafiği gerçek zamanlı olarak algılar ve engeller. Ayrıca resmi yamalar yayınlanmadan önce hassas ana bilgisayarları korumak için sanal yamalamayı destekler.
-
Esnek ve kararlı, ihtiyaca göre ölçeklendirme
Cloud Firewall'ın trafik işleme kapasitesi, iş ihtiyaçlarınızla birlikte sorunsuz bir şekilde ölçeklenebilir; bu da promosyonlar, testler veya güvenlik tatbikatları gibi yoğun trafik senaryoları için idealdir. Yoğun olmayan dönemlerde hizmetlerinizi etkilemeden sorunsuz bir şekilde ölçeği küçültebilir ve maliyetleri etkili bir şekilde azaltır. Yerleşik yüksek kullanılabilirlik mekanizması, farklı güvenlik duvarı kümeleri için çift alanlı olağanüstü durum kurtarma desteği sunarak iş sürekliliğini sağlar.
Temel özellikler
Güvenlik duvarı korumasını etkinleştirin
Cloud Firewall; İnternet sınırı, NAT sınırı ve VPC sınırı için birleşik trafik kontrolü sağlar. Etkinleştirildiğinde, cloud varlıklarınızın kuzey-güney ve doğu-batı trafiğine erişim kontrolü ve tehdit algılama uygular.
İnternet güvenlik duvarı: Genel internetten gelen giden trafiği korur. ECS ve Server Load Balancer (SLB) örnekleri gibi genel varlıkları hedefleyen tarama ve saldırıları engellemek için IP adresi, bağlantı noktası, protokol ve alan adına dayalı ilkeleri destekler.
NAT güvenlik duvarı: NAT Gateway üzerinden internete erişen özel varlıkların trafiğini yönetir. Dahili ana bilgisayarların C2 sunucusuna bağlanmasını veya veri sızdırmasını önler ve IPS ile derinlemesine incelemeyi destekler.
VPC güvenlik duvarı: VPC'ler arasındaki ve bir VPC içindeki alt ağlar arasındaki trafiği yönetir. Yatay hareket saldırılarını önler ve ağ mikro segmentasyonu elde etmek için DNS alan adlarına dayalı erişim kontrolünü destekler.
Trafik analizi
Bu özellik, anormal davranışları ve olası riskleri belirlemenize yardımcı olmak için trafik görselleştirmesi sağlar.
Giden Bağlantılar: Dahili ana bilgisayarlardan genel internete yapılan bağlantıları izler. Kripto madenciliği, uzaktan kontrol ve veri sızdırma gibi davranışları tanımlar ve hedef IP, bağlantı noktası, protokol ve zamana göre izlemeyi destekler.
Genel Kullanıma Açma: Genel olarak erişilebilir varlıkları ve hizmetleri otomatik olarak keşfeder, maruz kalma risklerini değerlendirir ve saldırı yüzeyinizi azaltmanıza yardımcı olur.
VPC Arası Trafik: VPC'ler arasında ve içindeki trafik topolojisini ve erişim ilişkilerini görüntüler; böylece ağ mimarinizi ve güvenlik ilkelerinizi optimize etmenize yardımcı olur.
Koruma yapılandırması
Bu bölümde erişim kontrolü ve sızma önleme ilkelerini yapılandırabilirsiniz.
IPS Koruması: Tehdit istihbaratı ve saldırı algılama motorunu kullanarak açıklık istismarları, web kabuğu yüklemeleri ve SQL enjeksiyonu gibi saldırıları engeller. Ayrıca resmi yamalar yayınlanmadan önce koruma sağlamak için sanal yamalamayı destekler.
Erişim Kontrol İlkeleri: 5'li demet (kaynak/hedef IP, bağlantı noktası, protokol), alan adı, uygulama türü ve coğrafi konuma dayalı ilkeleri destekler. İlke şablonları ve toplu işlemler de desteklenir.
Algılama ve yanıt
Bu özellik, güvenlik olayı uyarıları, günlük denetimi ve analiz işlevleri sağlar.
-
Güvenlik Olayları: IPS koruma motoru, tespitleri aşağıdaki üç tür uyarıda toplar:
Sızma Önleme: Harici saldırı girişimlerini ve kötü amaçlı trafiği kaydeder ve engeller.
Açıklık Koruması: Bilinen açıklıklara yönelik istismar girişimlerini izler.
Ele Geçirilmiş Ana Bilgisayar Algılama: Ele geçirilmiş dahili ana bilgisayarlardan gelen anormal giden bağlantıları veya yatay hareketi tanımlar.
Günlük denetimi: Temel uyumluluk ve adli bilişim ihtiyaçlarını karşılamak için 7 günlük ücretsiz günlük depolama sağlar.
Günlük analizi: Günlük depolama süresini uzatmayı (örneğin Sınıflandırılmış Koruma uyumluluğu için gereken 180 günlük depolama süresi) destekler ve çok boyutlu arama ile istatistiksel analiz yetenekleri sağlar.
Sürümler ve faturalama
Cloud Firewall dört sürümde sunulur: Kullandıkça öde, Premium Edition, Enterprise Edition ve Ultimate Edition. İş ihtiyaçlarınıza en uygun sürümü seçin.
Bu tabloda sürümler arasındaki temel farklar vurgulanmaktadır. Tam özellik karşılaştırması için bkz. Sürüm karşılaştırma ve seçimi.
Ayrıntılı fiyatlandırma bilgileri için bkz. Abonelik (Faturalama 2.0) (Premium, Enterprise ve Ultimate Edition'lar için) ve Kullandıkça öde (Faturalama 2.0) (Kullandıkça öde sürümü için).
Sürüm | Kullandıkça öde | Premium Edition | Enterprise Edition | Ultimate Edition |
Faturalama modeli | kullandıkça öde | abonelik | ||
Özellik desteği | Temel koruma | Temel koruma | Tam özellikli koruma | Tam özellikli koruma |
Önerilen senaryolar |
|
|
| |
Başlangıç
Cloud Firewall'ı etkinleştirdikten sonra yapılandırmak için şu adımları izleyin:
-
Varlıklarınız için korumayı etkinleştirin
Genel varlıklarınız için İnternet güvenlik duvarını etkinleştirin (zorunludur). Daha fazla bilgi için bkz. İnternet güvenlik duvarı. İş ihtiyaçlarınıza bağlı olarak genel NAT ağ geçitleriniz ve VPC varlıklarınız için korumayı etkinleştirin. Daha fazla bilgi için bkz. NAT güvenlik duvarı ve VPC güvenlik duvarı.
-
IPS yapılandırmasını gözden geçirin
IPS tehdit motoru, genel koruma için varsayılan olarak etkindir. İş ihtiyaçlarınıza bağlı olarak yapılandırmayı daha sonra ayarlayabilirsiniz. Daha fazla bilgi için bkz. IPS yapılandırması.
-
Erişim kontrol ilkelerini yapılandırın
Varsayılan erişim kontrol ilkeleri izin vericidir ve kötü amaçlı trafiği engellemez. Meşru trafiğin engellenmemesi için iş ihtiyaçlarınıza dayalı ilkeler yapılandırmanız gerekir. Daha fazla bilgi için bkz. Erişim kontrol ilkeleri. Hangi ilkelerin yapılandırılacağından emin değilseniz bkz. Erişim kontrol ilkesi yapılandırma.
-
Trafiği analiz edin ve günlükleri denetleyin
Cloud Firewall bir süre çalıştıktan sonra trafik modellerini ve güvenlik olaylarını görüntülemek için Trafik analizi ve günlük denetimi sayfalarına gidin. Analize dayalı olarak IPS yapılandırmanızı ve erişim kontrol ilkelerinizi ayarlayın. Günlükleri daha uzun süre saklamak için tam günlük sorgulamayı ve denetlemeyi destekleyen günlük analizi özelliğini etkinleştirin ve yapılandırın.
-
Gelişmiş özellikleri yapılandırın
Temel işlevlere ek olarak Cloud Firewall; daha ayrıntılı güvenlik ve operasyonel ihtiyaçları karşılamak için Security Operation Agent, TLS Denetimi, Uygulama Kontrolü ve Web Filtreleme (bazıları genel veya sadece davetli beta aşamasında) gibi gelişmiş özellikler sunar.
SSS
WAF, Cloud Firewall ve Anti-DDoS arasındaki farklar
Web Application Firewall (WAF): HTTP/HTTPS uygulama katmanına özel bir güvenlik ürünüdür. WAF, uygulama katmanı saldırılarına karşı savunmak için web isteklerini derinlemesine inceler.
Cloud Firewall (CFW): Cloud ortamları için birleşik ağ çevresi erişim kontrolü ürünüdür. CFW, trafiği yönetir ve İnternet, VPC ve NAT sınırlarında sızma önleme sağlayarak ağ katmanı sızmasını ve yatay hareketi önler.
Anti-DDoS: Trafiği küresel olarak dağıtılmış temizleme merkezlerine yönlendirerek büyük ölçekli dağıtılmış hizmet reddi (DDoS) saldırılarına karşı koruma sağlar. Anti-DDoS, saldırılar sırasında hizmet kararlılığını ve kullanılabilirliğini korumak için kötü amaçlı trafiği filtreler.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Derinlemesine savunma stratejisi için Anti-DDoS Pro ve Anti-DDoS Premium, Cloud Firewall ve WAF'tan oluşan birleşik bir mimari öneriyoruz.
Ürün entegrasyonu ve trafik yolu
Evet. Cloud Firewall diğer cloud ürünleriyle birlikte dağıtılabilir. Trafik yolu aşağıdaki şekilde gösterilmektedir.
Örnek miktarı hesaplama
Varsayılan olarak yeni kullanıcılar Faturalama 2.0'ı kullanır. Bu modelde, bir Cloud Firewall aboneliği, farklı sınır güvenlik duvarları oluşturmak için kullanılabilecek genel amaçlı bir örnek teknik özelliği sağlar. Örneğin, Premium Edition aboneliği bir genel amaçlı örnek teknik özelliği sağlar.
Tüketilen Cloud Firewall örneklerinin sayısı aşağıdaki gibi hesaplanır:
İnternet güvenlik duvarı: Korunan her bölge için bir örnek gerekir. Aynı bölge içinde, korunan genel IP adreslerinin sayısından veya IP adreslerinin IPv4 ya da IPv6 olmasından bağımsız olarak yalnızca bir örnek teknik özelliği tüketilir.
NAT güvenlik duvarı: Her NAT Gateway örneği için bir örnek gerekir.
-
VPC güvenlik duvarı:
Cloud Enterprise Network (CEN) Enterprise Edition mimarisinde, her Transit Router (TR) için bir örnek gerekir.
CEN Basic Edition mimarisinde, her VPC için bir örnek gerekir.
VPC eşlemeli bağlantı mimarisinde, her VPC çifti için bir örnek gerekir.
Çoklu Hesap Yönetimi: Bu özelliği etkinleştirirseniz, her üye hesabın varlıkları bir Cloud Firewall örnek teknik özelliği tüketir ve ayrı bir örnek ücretine tabi olur.
Uyumluluk sertifikaları
Cloud Firewall; ISO 9001, ISO 20000, ISO 22301, ISO 27001, ISO 27017, ISO 27018, ISO 29151, ISO 27701, BS 10012, CSA STAR ve PCI DSS sertifikalarına sahiptir.
Ürün kökeni
Alibaba Cloud, Cloud Firewall'ı tamamen kendi bünyesinde geliştirmiştir. Bu, üçüncü taraf bir satıcıdan alınan bir OEM ürünü değildir.