Cloud Firewall:Centralized enterprise protection with Cloud Firewall

Arka plan

Kuruluşlar cloud üzerindeki varlıklarını genişlettikçe, artan sayıda kaynağı, projeyi ve izni yönetmek giderek daha karmaşık hale gelir. Tek bir hesap artık operasyonel yükü kaldıramaz ve çoklu hesap stratejisi zorunlu hale gelir. Bu durum, özellikle güvenlik, uyumluluk, ağ ve operasyonlar açısından kaynakların hesaplar arasında merkezi olarak yönetilmesini gerektirir.

Bu gereksinimleri karşılamak için Cloud Firewall, Alibaba Cloud Resource Directory'nin güvenilir hizmet özelliğini kullanır. Bu özellik, birden fazla Alibaba Cloud hesabını tek bir kaynak dizininde gruplandırmanıza olanak tanır; burada her hesap bir üye hesaptır. Daha sonra bir üyeyi yetkili yönetici hesabı olarak atayabilirsiniz. Bu hesap, kaynak dizinindeki diğer tüm üye hesapların kaynaklarına erişim yetkisine sahip olur. Bu yapı, tüm hesaplarınız arasındaki İnternet varlıkları ve VPC varlıkları için merkezi trafik koruması, ilke yapılandırması, trafik analizi, saldırı önleme, saldırı savunması, tehdit algılama ve günlük denetimi sağlar.

Örnek senaryo

• Ağ dağıtımı

  Bir kuruluş, Çin (Pekin) bölgesindeki iki Alibaba Cloud hesabında dağıtılmış kaynaklara sahiptir. A Hesabında, her biri bir ECS örneği içeren BJ-VPC1 ve BJ-VPC2 olmak üzere iki VPC bulunur: BJ-VPC1-ECS1 ve BJ-VPC2-ECS2. B Hesabında da, her biri bir ECS örneği içeren BJ-VPC3 ve BJ-VPC4 olmak üzere iki VPC bulunur: BJ-VPC3-ECS3 ve BJ-VPC4-ECS4. Kuruluş, BJ-VPC1 ile BJ-VPC2 arasında ve BJ-VPC3 ile BJ-VPC4 arasında trafiğe izin vermek için VPC eşlemeli bağlantıları kullanır.

• Gereksinimler ve çözüm

  Kuruluş, yalnızca Alibaba Cloud A Hesabında etkinleştirilen tek bir Cloud Firewall örneği kullanarak VPC'leri arasındaki trafiği incelemek istemektedir. Çözüm, BJ-VPC1 ile BJ-VPC2 arasındaki ve BJ-VPC3 ile BJ-VPC4 arasındaki trafiği güvence altına almalıdır. Ayrıca, BJ-VPC1-ECS1 örneğinden BJ-VPC2-ECS2 örneğine erişimi engellemelidir. Bunun için kuruluş, Cloud Firewall'un çoklu hesap yönetimi, VPC Güvenlik Duvarı ve erişim kontrolü özelliklerini kullanır.

Aşağıdaki şekilde ağ yapılandırması gösterilmektedir.

Ön koşullar

• Yönetim hesabınız için bir kaynak dizini etkinleştirdiniz. Daha fazla bilgi için bkz. Kaynak dizini etkinleştirme.

• Alibaba Cloud A Hesabı için Cloud Firewall Premium, Enterprise, Ultimate veya kullandıkça öde sürümünü etkinleştirdiniz. Daha fazla bilgi için bkz. Abonelik 2.0.

  Not

  Daha fazla üye hesap eklemek için Cloud Firewall planınızı daha fazla hesabı destekleyecek şekilde yükseltmeniz gerekir.

• Aynı bölgede dört VPC dağıttınız: ikisi Alibaba Cloud A Hesabı ve ikisi Alibaba Cloud B Hesabı için. Daha fazla bilgi için bkz. VPC oluşturma ve yönetme.

• Hem Alibaba Cloud A Hesabı hem de Alibaba Cloud B Hesabı için her VPC'de bir ECS örneği oluşturdunuz. Daha fazla bilgi için bkz. ECS örneği oluşturma.

• Her hesap içindeki iki VPC'yi bağlamak için bir VPC eşlemeli bağlantısı kurdunuz. Daha fazla bilgi için bkz. VPC eşlemeli bağlantısı oluşturma ve yönetme.

Yapılandırma

Adım 1: Üyeleri davet etme

Yönetim hesabı, kaynak dizininizin dışındaki Alibaba Cloud hesaplarını üye olarak davet ederek tüm kaynaklarınızın merkezi yönetimini sağlayabilir.

1. Yönetim hesabınızı kullanarak Kaynak Yönetimi konsolunda oturum açın.

2. Sol gezinme bölmesinde Resource Directory > Invite seçeneğini tıklayın.

3. Invite Member Account öğesini tıklayın.

4. Invite Member Account panelinde, Hesap Kimliği veya Oturum Açma E-posta Adresi alanına Alibaba Cloud A hesabının (135809047715) ve Alibaba Cloud B hesabının (166032244439) kimliklerini girin. Ardından risk bildirimini inceleyin ve onay kutusunu seçin.

   Not

   E-posta adresi, hesabın kurtarma e-postası değil, oturum açma e-posta adresi olmalıdır. Hesapları toplu olarak davet etmek için birden fazla hesap kimliği veya oturum açma e-posta adresi girebilirsiniz. Her girişi virgül (,) ile ayırın.

5. OK öğesini tıklayın.

Adım 2: Yetkili yönetici ekleme

Yetkili yönetici hesabı, kuruluş yönetimi görevlerini hizmet yönetimi görevlerinden ayırır. Kuruluş yönetim hesabı kaynak dizini için organizasyonel görevleri yürütürken, yetkili yönetici hesabı güvenilir hizmetleri yönetir. Bu örnekte, Alibaba Cloud A Hesabı yetkili yönetici hesabıdır.

1. Yönetim hesabınızı kullanarak Kaynak Yönetimi konsolunda oturum açın.

2. Sol gezinme bölmesinde Resource Directory > Trusted Services seçeneğini tıklayın.

3. Trusted Services sayfasında hedef güvenilir hizmeti bulun ve Actions sütunundaki Manage seçeneğini tıklayın.

4. Delegated Administrator Account bölümünde Add seçeneğini tıklayın.

5. Add Delegated Administrator Account panelinde Alibaba Cloud A Hesabını (Kimlik: 135809047715****) seçin.

6. OK öğesini tıklayın.

   Hesabı ekledikten sonra, güvenilir hizmetin çoklu hesap yönetimi modülüne erişebilir ve tüm kaynak dizinini yönetebilirsiniz.

Adım 3: Üye hesap ekleme

Cloud Firewall, birden fazla Alibaba Cloud hesabını organize etmek için Kaynak Dizini'nin güvenilir hizmet özelliğini kullanır. Dizindeki her hesap bir üye hesap haline gelir ve bu sayede tüm üyeler kaynakları paylaşabilir.

1. Alibaba Cloud A hesabıyla Cloud Firewall konsolunda oturum açın.

2. Sol gezinme bölmesinde Settings > Multi-Account seçeneğini tıklayın.

3. Multi-Account sayfasında Add Member seçeneğini tıklayın.

4. Add Member iletişim kutusunda, Alibaba Cloud B hesabını (166032244439****) Selected Members listesine ekleyin.

5. Selected Members listesinde Alibaba Cloud B hesabını (166032244439****) seçin ve OK öğesini tıklayın.

   Alibaba Cloud A hesabı (135809047715**), Alibaba Cloud B hesabını (166032244439) üye hesap olarak ekledi. Alibaba Cloud B hesabı (UID: 166032244439) artık Çoklu Hesap Yönetimi sayfasındaki üye hesap listesinde Normal** durumuyla görünür.

Adım 4: VPC güvenlik duvarı oluşturma

İki VPC bir VPC eşlemeli bağlantısı üzerinden bağlıysa, aralarındaki trafiği incelemek için bir VPC güvenlik duvarı oluşturabilirsiniz.

1. Alibaba Cloud A Hesabıyla Cloud Firewall konsolunda oturum açın. Sol gezinme bölmesinde Firewall seçeneğini tıklayın.

2. Firewall sayfasında VPC Firewall sekmesini tıklayın.

3. Peering Connection sekmesinde, VPC değeri BJ-VPC1 ve Peer VPC değeri BJ-VPC2 olan girişi bulun ve ardından Actions sütunundaki Create seçeneğini tıklayın.

   Cloud Firewall kaynakları her 30 dakikada bir senkronize eder, bu nedenle yeni oluşturulan bir kaynağın görünmesi 30 dakika kadar sürebilir.

4. Create VPC Firewall iletişim kutusunda aşağıdaki parametreleri yapılandırın ve OK öğesini tıklayın.

   Parametre	Açıklama	Örnek
   Instance Name	VPC güvenlik duvarı örneğini tanımlamanıza yardımcı olacak benzersiz ve açıklayıcı bir ad.	Çoklu hesap yönetimi testi
   Connection Type	VPC'ler arasındaki veya bir VPC ile bir veri merkezi arasındaki bağlantı yöntemini belirtir. Bu senaryo için tür otomatik olarak Peering Connection olarak ayarlanır.	vpc eşleme bağlantısı
   VPC Details	VPC bölgesini ve örneğini onaylayın. Korunacak Route Tablenu seçin ve Destination CIDR Blocknu girin.	Yerel VPC: Bölge: Çin (Pekin) VPC: vpc-2zekde0udtz2s1hn9****-BJ-VPC1 Güvenlik Duvarı IP/ENI: 10.33.33.15-eni-2zeau3rre2q3llavidw0 Yönlendirme tablosu: vtb-2zeo25fbkcvc2lx7j**** Hedef CIDR bloğu: 10.66.66.0/24 Eş VPC: Bölge: Çin (Pekin) VPC: vpc-2zey3h1i556yn5orn****-BJ-VPC2 Güvenlik Duvarı IP/ENI: 10.66.66.92-eni-2zeau3rre2q3llavidw0 Yönlendirme tablosu: vtb-2zeo25**** Hedef CIDR bloğu: 10.33.33.0/24
   IPS	Cloud Firewall'un yerleşik tehdit algılama motoru, İnternet'ten gelen kuzey-güney trafiği ve VPC sınırındaki doğu-batı trafiği için ağ ihlallerini gerçek zamanlı olarak engelleyen bir saldırı önleme sistemi (IPS) sağlar.	IPS Modu: Engelleme Modu - Gevşek. IPS Yetenekleri: Temel Kurallar ve Sanal Yamalama.
   Enable VPC Firewall	Etkinleştirilirse, VPC güvenlik duvarı oluşturulduğunda otomatik olarak etkinleşir. Bu seçenek varsayılan olarak devre dışıdır.	Etkin

5. Peering Connection sekmesinde, VPC değeri BJ-VPC3 ve Peer VPC değeri BJ-VPC4 olan girişi bulun ve ardından Actions sütunundaki Create seçeneğini tıklayın.

6. Create VPC Firewall iletişim kutusunda aşağıdaki parametreleri yapılandırın ve OK öğesini tıklayın.

   Parametre	Açıklama	Örnek
   Instance Name	VPC güvenlik duvarı örneğini tanımlamanıza yardımcı olacak benzersiz ve açıklayıcı bir ad.	Çoklu hesap yönetimi testi02
   Connection Type	VPC'ler arasındaki veya bir VPC ile bir veri merkezi arasındaki bağlantı yöntemini belirtir. Bu senaryo için tür otomatik olarak Peering Connection olarak ayarlanır.	vpc eşleme bağlantısı
   VPC Details	VPC bölgesini ve örneğini onaylayın. Korunacak Route Tablenu seçin ve Destination CIDR Blocknu girin.	Yerel VPC: Bölge: Çin (Pekin) VPC Kimliği: vpc-2ze9epancaw8t4sha****-VPC3-ECS3 Güvenlik Duvarı IP/ENI: 10.10.10.46-eni-2ze0if806m1f08w5**** Yönlendirme tablosu: vtb-2zekhldj6y24xm6vi**** Hedef CIDR bloğu: 10.10.11.0/24 Eş VPC: Bölge: Çin (Pekin) VPC: vpc-2ze3rb2rf1rqo3peo****-BJ-VPC4 Güvenlik Duvarı IP/ENI: 10.10.11.116-eni-2ze24sw34yq9n8ae**** Yönlendirme tablosu: vtb-2zestg1kxe9it54yu**** Hedef CIDR bloğu: 10.10.10.0/24
   IPS	Cloud Firewall'un yerleşik tehdit algılama motoru, İnternet'ten gelen kuzey-güney trafiği ve VPC sınırındaki doğu-batı trafiği için ağ ihlallerini gerçek zamanlı olarak engelleyen bir saldırı önleme sistemi (IPS) sağlar.	IPS Modu: Engelleme Modu - Gevşek. IPS Yetenekleri: Temel Kurallar ve Sanal Yamalama.
   Enable VPC Firewall	Etkinleştirilirse, VPC güvenlik duvarı oluşturulduğunda otomatik olarak etkinleşir. Bu seçenek varsayılan olarak devre dışıdır.	Etkin

Adım 5: Erişim kontrol ilkesi yapılandırma

VPC güvenlik duvarı, VPC'ler arasındaki trafiği inceler. Varsayılan olarak, bu VPC'ler arasındaki tüm trafiğe izin verir. Varlıklarınıza yönelik trafik üzerinde ayrıntılı kontrol sağlamak için VPC güvenlik duvarı için bir erişim kontrol ilkesi oluşturabilirsiniz. Bu örnekte, BJ-VPC1-ECS1 örneğinden BJ-VPC2-ECS2 örneğine erişimi reddetmek için bir erişim kontrol ilkesi oluşturacaksınız. Her iki ECS örneği de bir Alibaba Cloud Hesabına aittir.

1. Alibaba Cloud Hesabınızla Cloud Firewall konsolunda oturum açın.

2. Sol gezinme bölmesinde Protect > Access Control > Policy Configuration > VPC Border seçeneğini tıklayın.

3. VPC Border sayfasında Create Policy seçeneğini tıklayın.

4. Create Policy - VPC Border panelinde aşağıdaki parametreleri yapılandırın.

   Parametre	Açıklama	Örnek değer
   Source Type	Trafik kaynağının türü.	IP
   Source	Trafiğin kaynak adresi.	10.33.33.17/32
   Destination Type	Trafik hedefinin türü.	IP
   Destination	Trafiğin hedef adresi.	10.66.66.94/32
   Protocol Type	Transport katmanı protokolü.	TCP
   Port Type	Bağlantı noktasının türü.	Bağlantı Noktası
   Port	İlkenin uygulanacağı hedef bağlantı noktası. Port Type ayarına bağlı olarak bir bağlantı noktası numarası girebilir veya önceden yapılandırılmış bir Address Book nden seçim yapmak için Select seçeneğini tıklayabilirsiniz.	80
   Application	Trafiğin kullandığı uygulama.	ANY
   Action	İlkeyle eşleşen trafikte gerçekleştirilecek eylem.	reddet
   Description	İlkenin amacını tanımlamanıza yardımcı olacak isteğe bağlı bir açıklama.	Hesap içi yönetim için reddetme ilkesi
   Priority	İlkenin önceliği. Varsayılan değer Lowest tur.	en düşük

5. OK öğesini tıklayın.

Adım 6: Trafik günlüklerini ve saldırı önlemeyi görüntüleme

Güvenlik duvarını yapılandırdıktan sonra, Cloud Firewall konsolunda VPC'leriniz arasındaki trafiği izleyebilirsiniz. VPC Erişimi özelliği, anormal trafiği belirlemenize ve sorunlarını gidermenize yardımcı olacak gerçek zamanlı bilgiler sağlar; bu da potansiyel saldırıların daha hızlı tespit edilmesine olanak tanır. Daha fazla bilgi için bkz. VPC Erişimi. Ayrıca, yapılandırmanızı doğrulamak ve anormal trafik olup olmadığını kontrol etmek için trafik günlüklerini ve saldırı önleme verilerini gözden geçirebilirsiniz. İş gereksinimlerinizle uyumlu olmayan bir trafik bulursanız, erişim kontrol ilkelerinizi veya koruma ayarlarınızı düzenleyebilirsiniz.