Enable security hardening mode for metadata access to prevent SSRF attacks, secure instance metadata with credential authentication, and enforce compliance with RAM policies. - Elastic Compute Service

Örnek meta verilerine erişim için belirteç tabanlı kimlik doğrulama gerektirerek SSRF saldırılarını önleyin.

Güvenlik riskleri

Normal modda, örnek meta verileri istekleri kaynak IP adresine göre doğrulanır. Saldırganlar bu adresi sahteleştirerek doğrulamayı atlayabilir ve hassas meta verilerin ifşa edilmesine yol açan SSRF saldırıları gerçekleştirebilir. Gelişmiş mod ise yalnızca belirli bir ECS örneği içinde oluşturulan ve geçerli olan, süresi sınırlı bir erişim kimlik bilgisi gerektirir. Bu kimlik bilgisi tahmin edilemeyeceği veya sahtelenemeyeceği için gelişmiş mod çoğu SSRF saldırısını engeller.

En iyi uygulamalar

Konsol

Örnek satın alma sayfasında, Normal Mode and Security Hardening Mode yerine Security Hardening Mode seçeneğini seçin. Bu modu yalnızca en güncel genel görüntü sürümlerinin bazıları destekler.

Önemli

Örnek meta verileri için gelişmiş modu zorunlu kıldıktan sonra, meta verilere erişen tüm uygulama kodlarını belirteç tabanlı kimlik doğrulama kullanacak şekilde güncelleyin.

API

RunInstances veya CreateInstance API işlemini çağırırken güvenlik sertleştirme modunu zorunlu kılmak için HttpTokens parametresini required olarak ve HttpEndpoint parametresini etkin olarak ayarlayın.

Uyumluluk yetenekleri

Engelle: Güvenlik sertleştirme modu olmadan örnek oluşturmayı reddedin

Organizasyon veya hesap düzeyinde bir RAM ilkesi kullanarak güvenlik sertleştirme modu olmayan örneklerin oluşturulmasını engelleyin.

Kurumsal kullanıcılar için:
1. Bir Alibaba Cloud hesabıyla Resource Directory konsolunda oturum açın. Sol gezinme bölmesinde Control Policies seçeneğine tıklayın. Aşağıdaki JSON içeriğiyle özel bir ilke oluşturun.
  
  Bu ilke, güvenlik sertleştirme modu kullanmayan örnek oluşturma işlemlerini veya meta veri modu değişikliklerini reddeder.
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance",
        "ecs:ModifyInstanceMetadataOptions"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ecs:SecurityHardeningMode": ["false"]
        }
      }
    }
  ]
}
```
2. Kaynak dizininde bir düğüm seçin ve ilkeyi ekleyin. İlke, bu düğüm altındaki tüm hesaplar için belirtilen işlemleri engeller.
Bireysel kullanıcılar için:
1. Bir Alibaba Cloud hesabıyla Resource Access Management (RAM) konsolunda oturum açın. Sol gezinme bölmesinde Permission Policy seçeneğine tıklayın. Aynı JSON içeriğiyle özel bir ilke oluşturun.
2. İlkeyi bir RAM kullanıcısına, RAM kullanıcı grubuna veya RAM rolüne ekleyin.

Düzeltme: Mevcut örnekleri iyileştirin

Mevcut bir örnek için gelişmiş modu zorunlu kılın.