Bastionhost kullanarak tek bir bakım ve yönetim giriş noktası oluşturun, ayrıntılı izin kontrolleri uygulayın ve uçtan uca işlem denetimleri yapın. Bu yaklaşım, ECS örneklerinizi güvence altına almanıza ve MLPS 2.0 Seviye 3 kapsamında kimlik doğrulama, erişim kontrolü ve işlem denetimi için temel gereksinimleri karşılamanıza yardımcı olur.
Güvenlik riskleri
Personelin SSH veya RDP kullanarak internetten ya da ofis ağlarından sunuculara doğrudan erişmesine izin vermek gibi geleneksel bakım ve yönetim yöntemleri, kontrol edilmesi zor olan çeşitli riskler oluşturur:
Kimliği belirsiz kullanıcılar ve yetki kötüye kullanımı: root veya Administrator gibi yerel veya paylaşılan sunucu hesaplarının kullanılması, işlemlerin belirli bir operatöre kadar izlenmesini imkansız hale getirir. Yüksek ayrıcalıklı bir hesabın kimlik bilgileri ele geçirilirse saldırgan sınırsız erişim elde edebilir ve kötü amaçlı eylemler gerçekleştirebilir; bu durumda sorumluyu tespit etmeniz mümkün olmaz.
İşlemsel kör noktalar: Özel denetim araçları olmadan sunucu üzerinde doğrudan yapılan eylemler genellikle tam olarak kaydedilmez. Bir güvenlik olayı durumunda ayrıntılı işlem günlüklerinin veya oturum kayıtlarının bulunmaması sorumluluğun belirlenmesini, saldırı yolunun analiz edilmesini veya hasarın boyutunun değerlendirilmesini imkansız kılar.
Dağınık kimlik bilgisi yönetimi ve sızma riski: Yüzlerce veya binlerce sunucunun yönetimi operatörlerin çok sayıda parolayı ve anahtarı hatırlamasını gerektirebilir. Bu durum zayıf veya yeniden kullanılan parolaların kullanılması ya da kimlik bilgilerinin güvensiz konumlarda saklanması gibi güvensiz uygulamalara yol açarak kimlik bilgisi sızması riskini önemli ölçüde artırır.
Yanal hareket için elverişli ortam: Bir saldırgan bir atlama sunucusunu veya operatörün PC'sini ele geçirip bir sunucuya doğrudan erişim sağlarsa o sunucuyu iç ağınızda yanal hareket için bir dayanak noktası olarak kullanabilir ve daha kritik sistemleri tehlikeye atabilir.
Hassas veri sızıntısı: Kontrolsüz bakım ve yönetim kanalları operatörlerin veya saldırganların dosya aktarımları ya da veritabanı dışa aktarmaları yoluyla hassas verileri kolayca indirmesine olanak tanıyarak veri ihlallerine neden olabilir.
En iyi uygulamalar
ECS örnek varlıklarınızı merkezi olarak yönetmek için Bastionhost kullanın ve sistem erişimini yalnızca Bastionhost kaynaklı bağlantılarla kısıtlamak için bir güvenlik grubu yapılandırın. Bu sayede bakım ve yönetim hesaplarını ve izinlerini merkezi olarak yönetebilir ve tüm işlemleri denetleyebilirsiniz.
-
Bastionhost'u planlayın ve dağıtın
Bastionhost satın alma sayfasına gidin, uygun bir teknik özellik seçin ve ardından örneği Bastionhost konsolunda etkinleştirin. Ayrıntılı talimatlar için Bastionhost örneği satın alma ve oturum açma konusuna bakın.
-
Varsayılan olarak reddeden ağ erişim ilkesi
Tüm bakım ve yönetim trafiğini Bastionhost üzerinden yönlendirmek için ağ düzeyinde bir kural uygulayın.
Özel bir güvenlik grubu oluşturun: ECS örnekleriniz için bir güvenlik grubu oluşturun veya planlayın. Varsayılan olarak gelen kuralları tüm harici erişimi, özellikle de SSH (bağlantı noktası 22) ve RDP (bağlantı noktası 3389) bağlantı noktalarını engelleyecek şekilde yapılandırın.
-
Erişime izin veren istisna kuralları yapılandırın: Güvenlik grubunda trafiğe yalnızca Bastionhost giden IP adresinizden hedef ECS örneklerinin bakım ve yönetim bağlantı noktalarına (22 veya 3389 gibi) izin veren bir gelen kuralı ekleyin.
-
Örnek kural:
Eylem: İzin Ver
Öncelik: 1 (En Yüksek)
Protokol: TCP
Kaynak: Bastionhost giden IP adresini girin. Örneğin, 47.100.XX.XX/32.
Hedef: 22/22 (SSH) veya 3389/3389 (RDP)
Güvenlik grubu, gruptaki sunucuların 22 numaralı bağlantı noktasına yalnızca 47.100.XX.XX/32 (Bastionhost giden IP adresi) adresinden erişilmesine izin verir.
-
-
Varlıkları ve kimlikleri merkezi olarak yönetin
-
Varlıkları içe aktarın: Bastionhost konsolunda ECS örnekleri, veritabanları ve uygulamalar gibi yönetmeniz gereken varlıkları tek bir yerden yönetmek üzere içe aktarabilirsiniz.
Daha fazla bilgi için Yeni ana bilgisayar oluşturma konusuna bakın.
-
Kimlik kaynaklarını entegre edin:
Bastionhost'ta oturum açmak ve varlıklar üzerinde işlem yapmak için Bastionhost kullanıcıları oluşturun. Daha fazla bilgi için Kullanıcıları yönetme konusuna bakın.
Kurulu bir kimlik doğrulama sistemi bulunan kuruluşlar için Bastionhost'u mevcut kimlik kaynağınızla (RAM kullanıcıları, AD/LDAP gibi) entegre etmenizi veya Bir Hizmet Olarak Kimlik (IDaaS) çözümü aracılığıyla DingTalk ve WeCom gibi hizmetlere bağlanarak tek tip kimlik yönetimi sağlamayı öneririz. Daha fazla bilgi için Kimlik doğrulama en iyi uygulamaları konusuna bakın.
-
-
Erişim kontrol ilkelerini yapılandırın
Kullanıcı ve varlık yetkilendirmesi: En az ayrıcalık ilkesini uygulayın. Her Bastionhost kullanıcısına yalnızca ihtiyaç duyduğu varlıklara erişim izni verin. Örneğin geliştiriciler yalnızca geliştirme ortamındaki sunuculara, veritabanı yöneticileri ise yalnızca veritabanı sunucularına erişebilir. Daha fazla bilgi için Bir kullanıcıya varlıklar ve varlık hesapları için izin verme konusuna bakın.
Ayrıntılı kontrol ilkeleri yapılandırın: Daha granüler kontrol sağlamak için Bastionhost'taki kontrol ilkesi özelliğini kullanın. Belirli kullanıcıların yüksek riskli komutları (örneğin
rm -rf) yürütmesini kısıtlayabilir, dosya aktarım türü ve boyutu için sınırlamalar belirleyebilir ve hassas işlemler için çift kişilik onayı etkinleştirebilirsiniz. Daha fazla bilgi için Kontrol ilkesi yapılandırma konusuna bakın.