Cloud kaynaklarınız İnternet ile iletişim kuruyorsa, hatta yalnızca giden erişim söz konusu olsa bile, Cloud Firewall hizmetini İnternet çıkış noktanıza dağıtmanız önerilir. Bu sayede ağ erişimini kontrol edebilir ve trafiği koruyabilirsiniz.
Güvenlik riskleri
İnternete bağlı bir ECS örneği, hem gelen hem de giden güvenlik tehditlerine açıktır:
-
Gelen tehditler: Bunlar, İnternet kaynaklı aktif saldırılardır. Saldırganlar genel IP adreslerini sürekli olarak tarar. SSH için 22 numaralı bağlantı noktası, veritabanları için 3306 veya uzak masaüstü için 3389 gibi açık bağlantı noktaları bulduklarında aşağıdaki yöntemleri kullanarak sisteme sızabilirler:
Açıklardan yararlanma: Saldırganlar, Log4j veya Fastjson gibi uygulamalarınızda ya da sistem yazılımlarınızda bilinen güvenlik açıklarını hedef alan uzaktan kod çalıştırma saldırıları başlatarak örnek üzerinde doğrudan kontrol sağlar.
Kaba kuvvet saldırıları: Saldırganlar, SSH, RDP ve veritabanı gibi hizmetlerin parolalarını tahmin etmek için sürekli denemeler yapar. Zayıf bir parola kullanılıyorsa örnek kolaylıkla ele geçirilebilir.
Web saldırıları: SQL enjeksiyonu, siteler arası komut dosyası çalıştırma (XSS) ve web kabuğu yüklemeleri gibi web hizmetlerini hedef alan saldırıları içerir.
DDoS saldırıları: Saldırganlar, bozuk paketler veya trafik taşması kullanarak örnek kaynaklarınızı tüketir ve hizmet kesintilerine neden olur.
-
Giden tehditler: Örneğiniz ele geçirilirse saldırgan ağı içinde bir sıçrama tahtasına dönüşebilir. Bu durum ciddi sonuçlar doğurabilecek kötü amaçlı giden bağlantılara yol açabilir:
Komuta ve kontrol (C&C) iletişimi: Yerleştirilen truva atları veya botnet programları, talimat almak ve veri göndermek amacıyla harici C&C sunucularına bağlanır.
Veri ihlalleri: Saldırganlar, örneğinizdeki hassas verileri çalar ve harici bir sunucuya aktarır.
Yanal hareket: Saldırganlar, ele geçirilmiş örneğinizi üs olarak kullanarak VPC'nizdeki diğer örnekleri hedef alabilir veya spam gönderme, DDoS saldırılarına katılma gibi harici saldırılar gerçekleştirebilir. Bu faaliyetler IP adresinizin küresel ölçekte engellenmesine ve iş itibarınızın zarar görmesine neden olabilir.
Cloud Firewall hizmeti; derin paket incelemesi (DPI), saldırı önleme sistemi (IPS) kuralları, tehdit istihbaratı, sanal yamalama ve erişim kontrol ilkeleri gibi teknolojileri kullanarak gelen ve giden trafiği filtreler. Trafiğe izin verilip verilmeyeceğini belirleyerek yetkisiz erişimi etkili şekilde engeller ve genel varlıklarınız ile İnternet arasındaki trafiği güvence altına alır.
Derin paket incelemesi (DPI): Cloud Firewall, yalnızca IP adreslerini ve bağlantı noktalarını değil, ağ trafiğinin içeriğini de inceler.
Saldırı önleme sistemi (IPS): DPI üzerine inşa edilen IPS, binlerce saldırı imzası kuralından oluşan bir kitaplık kullanarak kötü amaçlı trafiği doğru şekilde tanımlar ve engeller. Açıklardan yararlanma, kaba kuvvet saldırıları, madencilik truvaları ve web kabukları dahil olmak üzere bu trafik, bilerek açtığınız bağlantı noktalarını kullansa bile engellenir.
Tehdit istihbaratı entegrasyonu: Cloud Firewall, Alibaba Cloud'un ağ genelindeki kötü amaçlı IP adresleri ve etki alanları veritabanı ile gerçek zamanlı entegre olur. Bilinen kötü amaçlı IP'lerden ve botnet komuta ve kontrol (C&C) sunucularından gelen bağlantı denemelerini otomatik olarak engeller.
Sanal yamalama: Resmi bir yazılım veya sistem yaması yayınlanmadan önce Cloud Firewall, IPS kurallarını güncelleyerek geçici bir "sanal yama" sağlayabilir. Bu özellik, sıfır gün güvenlik açıklarının saldırganlar tarafından kullanılmasını engellemeye yardımcı olur.
En iyi uygulamalar
İnternet Güvenlik Duvarını etkinleştirin ve genel varlıkları koruyun
-
Varlıklarınız için korumayı etkinleştirin.
Cloud Firewall konsolu üzerinden oturum açın.
Sol gezinme bölmesinde Firewall seçeneğine tıklayın.
-
Internet Firewall sekmesinde, genel bir varlık için korumayı manuel olarak etkinleştirmek üzere IPv4 veya IPv6 sekmesine tıklayın.
Korumak istediğiniz varlık genel varlık listesinde görünmüyorsa sağ üst köşedeki Synchronize Assets seçeneğine tıklayın. Bu işlem, mevcut Alibaba Cloud hesabınızdan ve üye hesaplarından varlıkları senkronize eder. Senkronizasyon işlemi yaklaşık 1 ila 2 dakika sürer.
-
Tek bir varlık için korumayı etkinleştirme
Genel varlık listesinde korumak istediğiniz varlığı bulun ve Actions sütunundaki Enable Protection seçeneğine tıklayın.
-
Birden çok varlık için korumayı etkinleştirme
Genel varlık listesinde koruma uygulanacak varlıkları seçin ve ardından listenin altındaki Enable Protection seçeneğine tıklayın.
Alternatif olarak, istatistik alanındaki Enable Protection seçeneğine tıklayarak genel IP, bölge ve varlık türü gibi boyutlara göre gruplandırılan tüm genel varlıklar için İnternet Güvenlik Duvarı korumasını tek seferde etkinleştirebilirsiniz.
-
Erişim kontrolü için güvenlik duvarını kullanın
Yabancı bölgelerden gelen erişimi reddedin: İstatistikler birçok saldırının yabancı IP adreslerinden kaynaklandığını göstermektedir. Bu konumlardan gelen erişimi kısıtlamak saldırı yüzeyinizi azaltmaya yardımcı olur. Daha fazla bilgi için bkz. Yabancı bölgelerden ana bilgisayar erişimini reddetmek için bir ilke yapılandırın.
Bir ECS örneğinin erişebileceği etki alanlarını kısıtlayın: Dahili ana bilgisayarlardan giden İnternet erişimi genellikle kısıtlanmalıdır. Örneğin, bir örnek yalnızca harici sitelerden görüntü veya yükleme paketleri indirmeye ihtiyaç duyuyorsa İnternet erişimi için yalnızca web protokollerine izin vermelisiniz. Daha fazla bilgi için bkz. Genel bir örneğin belirli bir etki alanına erişmesine izin vermek için bir ilke yapılandırın ve Özel bir örneğin belirli bir etki alanına erişmesine izin vermek için bir ilke yapılandırın.
Diğer en iyi uygulamalar için bkz. Erişim kontrolü en iyi uygulamaları.
Yaygın saldırılara karşı savunma
Veritabanı saldırılarına karşı savunma: Veritabanlarına yönelik başlıca tehditler arasında kaba kuvvet saldırıları, uygulama güvenlik açıkları, kötü amaçlı dosya okuma/yazma işlemleri, komut yürütme, bilgi hırsızlığı ve veri dökümü yer alır. Cloud Firewall, yaygın veritabanı yazılımları için derin trafik analizi, tehdit algılama ve engelleme yetenekleri sunar. Daha fazla bilgi için bkz. Veritabanı savunması için en iyi uygulamalar.
Solucanlara karşı savunma: Solucanlar, hizmet güvenlik açıklarından yararlanarak ağlarda aktif olarak yayılır. Hizmet kesintilerine, bilgi hırsızlığına, düzenleyici engellere ve fidye yazılımı saldırılarına neden olabilirler. Cloud Firewall, çeşitli solucanları ve varyantlarını tespit edip engelleyerek solucan saldırı zincirine karşı katmanlı bir savunma sağlar. Solucan yayılımını durdurmak amacıyla bu yetenekleri değişen güvenlik ortamına göre sürekli günceller. Daha fazla bilgi için bkz. Solucanlara karşı savunma için en iyi uygulamalar.
Sistem güvenlik tehditlerine karşı savunma: Sistem güvenlik riskleri arasında yanlış yapılandırmalar (gereksiz açık bağlantı noktaları, zayıf parolalar ve zayıf güvenlik ilkeleri gibi) ve sistem güvenlik açıkları (uzaktan kod yürütme, hizmet reddi ve bilgi ifşa güvenlik açıkları gibi) bulunur. Cloud Firewall IPS modülü, ağ genelindeki saldırı eğilimlerini izler, tarama ve sızma girişimlerini proaktif olarak engeller, yüksek riskli açıklardan yararlanma girişimlerini engeller ve ters kabukların yanı sıra sistem dosyası sızıntılarını durdurur. Daha fazla bilgi için bkz. Sistem güvenlik savunması için en iyi uygulamalar.
Madencilik programlarına karşı savunma: Cloud Firewall IPS modülü, madencilik solucanları tarafından kullanılan ağ açıklarından yararlanma girişimlerini takip etmek ve bunlara karşı savunma sağlamak amacıyla tehdit istihbaratı ve sanal yamalardan yararlanır; böylece yayılımlarını engeller. Ayrıca, Cloud Firewall'daki ihlal farkındalığı özelliği madencilik solucanlarını tespit edebilir, bulaşmış örnekleri tanımlayabilir ve zamanında düzeltme yapılmasını sağlayabilir. Daha fazla bilgi için bkz. Madencilik programlarına karşı savunma için en iyi uygulamalar.