ECS; donanım şifreleme, güvenilir bilgi işlem ve gizli bilgi işlem dahil olmak üzere katmanlı güvenlik koruması sağlar.
Genel Bakış
ECS; varsayılan bellek şifreleme, güvenilir bilgi işlem (vTPM) ve gizli bilgi işlem (Confidential VM'ler ve enclave'ler) sunar.
Varsayılan bellek şifreleme: İşletim sisteminizde veya uygulamalarınızda değişiklik yapmadan bellek içi verileri fiziksel saldırılardan korur. g8i general-purpose, c8i compute-optimized ve r8i memory-optimized gibi örnek ailelerinde varsayılan olarak desteklenir.
Güvenilir bilgi işlem: Güvenilir örnekler, güven kökü olarak bir vTPM kullanarak güvenli önyüklemeyi etkinleştirir ve başlatma sırasında temel bileşenlerin değiştirilmediğini doğrular.
-
Gizli bilgi işlem: CPU donanım şifrelemesi ve yalıtımından yararlanarak verileri yetkisiz değişikliklere karşı koruyan güvenilir yürütme ortamı (TEE) sağlar. Uzak onaylama gibi özellikler, cloud platformunun ve örneklerinizin bütünlüğünü doğrular.
Enclave güvenliği: Intel Software Guard Extensions (Intel SGX) 2,0 ve Alibaba Cloud sanallaştırma enclave'lerine dayanan bu özellik, Güvenilir Bilgi İşlem Tabanını (TCB) azaltır ve saldırı yüzeyini en aza indirir. Bkz. SGX gizli bilgi işlem ortamı oluşturma ve Enclave gizli bilgi işlem ortamı oluşturma.
Confidential VM güvenliği: Kod değişikliği gerektirmeden işleme sırasında şifrelenen hassas iş yüklerini çalıştırın. Confidential VM'ler Intel Trust Domain Extensions (Intel TDX) temellidir. Bkz. TDX gizli bilgi işlem ortamı oluşturma.
Alibaba Cloud, ECS sunucularında Ali-PRoT (Platform Root-of-Trust) donanım güvenlik çipini kullanıma sunar. Bu çip, ek yapılandırma gerektirmeden alttaki donanımı ve yazılımı güvence altına alır. Temel yetenekler şunlardır:
Proaktif yazılım ölçümü: Sunucu başlatılmadan önce Ali-PRoT, yazılım bütünlüğünü (BIOS ve BMC gibi) doğrular. Geleneksel pasif kayıt yöntemlerinin aksine Ali-PRoT, yazılım çalıştırılmadan önce potansiyel tehditleri proaktif olarak algılar ve engeller. Yalnızca doğrulanmış sunucular başlatılabilir.
Çalışma zamanı kurcalama koruması: Ali-PRoT, çalışma zamanında yazılım okuma ve yazma işlemlerini sürekli izler ve yetkisiz erişim ile değişiklikleri gerçek zamanlı olarak engeller.
Donanım kimlik doğrulaması: Ali-PRoT, çipin benzersiz donanım kimliği ve cloud platformunun güvenlik kontrol sistemi aracılığıyla fiziksel sunucuların kimliğini doğrular ve yetkisiz cihazların platforma erişmesini önler.
Güvenlik özelliklerine hızlı bakış
