Paketlerinize yönelik kötü amaçlı saldırılar veya sahte trafik, bant genişliği ve veri aktarımında ani artışlara neden olarak beklenmedik şekilde yüksek faturalara yol açabilir. Maliyetli olayların riskini azaltmak için aşağıdaki güvenlik en iyi uygulamalarını izleyin.
Bu en iyi uygulamalar genel önerilerdir ve kapsamlı bir güvenlik çözümü sunmaz. Belirli ortamınıza veya gereksinimlerinize uygun olmayabilir. Bunları daha geniş bir güvenlik stratejisine entegre edin ve verilerinizin ve içeriğinizin korunması konusunda dikkatli olun.
Önemli finansal kayıp riskleri
Paketinize yönelik kötü amaçlı saldırılar veya sahte trafik aşağıdaki finansal risklere yol açabilir:
Yüksek faturalar: Kötü amaçlı saldırılar Object Storage Service (OSS) bant genişliğinizi tüketir ve ortaya çıkan ücretlerden siz sorumlusunuz.
Hesap bakiyenizi aşan faturalar: OSS, kullandıkça öde modeliyle çalışan bir hizmettir ve fatura tutarları faturalama döngüleri ve işleme gecikmeleri gibi faktörlerden etkilenir. Bu nedenle, hesap bakiyeniz sıfıra ulaştığında hizmet derhal askıya alınamaz. Bu durum, gecikmiş bir ödeme . Paketiniz kötü amaçlı bir saldırıya maruz kalır veya trafik hırsızlığı yaşanırsa yüksek ücretlere tabi olabilirsiniz. İlişkili risk, faturalandırılan tutarın genellikle hesap bakiyenizi aşmasıdır.
Genel erişimi engelleme
OSS, paket ilkeleri ve ACL'ler aracılığıyla genel erişime izin verir; bu, herkesin kimlik doğrulaması olmadan kaynaklarınıza erişebileceği anlamına gelir. Bu durum, veri ihlalleri ve kötü amaçlı etkinliklerden kaynaklanan yüksek trafik maliyetleri riski oluşturur. Bu riskleri azaltmak için OSS, global, paket, erişim noktası veya Function Compute erişim noktası düzeyinde tek tıkla Genel Erişimi Engelle özelliği sunar. Etkinleştirildiğinde, Genel Erişimi Engelle mevcut genel izinlerin üzerine yazar ve yeni izinlerin oluşturulmasını önleyerek verilerinizi genel erişime karşı korur. Daha fazla bilgi için bkz. Genel Erişimi Engelle.
OSS kaynaklarına PrivateLink üzerinden erişim
PrivateLink, VPC'niz ile OSS arasında güvenli, özel bir bağlantı kurarak genel internet erişiminin güvenlik risklerini önler. Özel bir bağlantı, veri güvenliğini artırır ve kötü amaçlı trafikten kaynaklanan aşırı maliyet riskini azaltır. Avantajları şunlardır:
İzolasyon: PrivateLink, OSS kaynaklarınızın yalnızca yetkili VPC'niz içinden erişilebilir olmasını sağlayarak internet tabanlı saldırıları önler.
İzin kontrolü: Bir VPC uç noktası, erişimi belirli IP adresleri veya alt ağlarla sınırlama veya belirli güvenlik grubu kurallarını uygulama gibi ayrıntılı erişim kontrolleri uygulamanıza olanak tanır.
Trafik izleme: VPC'niz içinde dağıtılan hizmetler, ağ trafiğinin daha iyi izlenmesini ve yönetilmesini sağlayarak anormallikleri hızlı bir şekilde tespit etmenize ve kötü amaçlı erişimi önlemenize olanak tanır.
Daha fazla bilgi için bkz. PrivateLink üzerinden OSS'e erişim.
ACL izinlerini özel olarak ayarlama
Herkesin OSS kaynaklarınızı okuması veya yazması gerekmediği sürece, bir paketin veya nesnenin erişim kontrol listesini (ACL) public-read veya public-read-write olarak ayarlamayın. Genel erişim sağlarsanız aşağıdaki izinler uygulanır:
-
public-read-write: Herkes paketteki nesneleri okuyabilir ve yazabilir.
UyarıBu, internetteki herhangi bir kullanıcının nesnelerinize erişmesine ve paketinize yeni nesneler yüklemesine olanak tanır. Bu durum, veri sızmasına, beklenmedik maliyet artışlarına ve kötü amaçlı veya yasa dışı içerik yüklenmesi durumunda potansiyel yasal sorunlara yol açabilir. Belirli bir kullanım durumu için kesinlikle gerekli olmadıkça,
public-read-writeizinleri vermemenizi önemle tavsiye ederiz. -
public-read: Yalnızca paket sahibi pakete nesne yazabilir, ancak herkes nesneleri okuyabilir.
UyarıBu, internetteki herhangi bir kullanıcının nesnelerinize erişmesine olanak tanır ve bu durum veri sızmasına ve beklenmedik maliyet artışlarına yol açabilir. Bu izni dikkatli kullanın.
Bu güvenlik risklerinden kaçınmak için paketlerinizin ve nesnelerinizin ACL'sini private olarak ayarlamanızı önemle tavsiye ederiz. Bir ACL'yi private olarak değiştirmeden önce, değişikliğin uygulamalarınızı veya hizmetlerinizi etkilemediğini doğrulayın.
Ayrıntılı adımlar için bkz. Paket ACL'sini ayarlama ve Nesne ACL'sini ayarlama.
CloudMonitor uyarı kurallarını yapılandırma
OSS kaynak kullanımınızı ve durumunu izlemek için CloudMonitor'da uyarı kuralları oluşturun. Bir ölçüm önceden tanımlanmış bir eşiği aştığında, CloudMonitor bir uyarı gönderir; böylece anormallikleri hızlı bir şekilde belirleyip ele alabilirsiniz.
Örneğin, genel gelen veya giden trafik gibi bir ölçümün bir dakika içinde 100 MB veya daha fazlasına ulaştığında tetiklenen bir paket için uyarı kuralı yapılandırabilirsiniz. Uyarı bilgileri daha sonra Simple Log Service'teki belirtilen bir Logstore'a yazılır.
Aşağıdaki örnek, genel gelen trafik 100 MB veya daha fazlasına ulaştığında tetiklenen bir uyarı kuralının nasıl yapılandırılacağını gösterir:
Uyarı Kuralı Oluştur iletişim kutusunda, Product değerini Object Storage Service (OSS) olarak, Resource Range değerini Instance olarak ve Associate Resources değerini examplebucket olarak ayarlayın. Kural Adı değerini alert olarak ve uyarı koşulunu ardışık bir dönem için (Bucket)Public Inbound Traffic ≥ 100 Mbytes olarak ayarlayın. Mute For değerini 24 hours olarak ve Effective Period değerini 00:00 ile 23:59 arasında ayarlayın. Contact Group için group1 seçeneğini belirleyin. Advanced Settings bölümünde, Simple Log Service özelliğini etkinleştirin. Region için China (Hangzhou) seçeneğini belirleyin ve ilgili ProjectName ve Logstore değerlerini yapılandırın. Auto Scaling, Message Service (MNS)—topic ve Function Compute gibi diğer seçenekleri devre dışı bırakın. Method to Process No Data için Do not process seçeneğini belirleyin.
Belirli bir paket için veya Alibaba Cloud hesabınız altındaki tüm OSS kaynakları için uyarı kuralları yapılandırabilirsiniz. Daha fazla bilgi için bkz. Uyarı kuralı oluşturma.
Hotlink korumasını yapılandırma
Yetkisiz yönlendirenlerin nesnelerinize erişmesini önlemek için OSS'te Referer tabanlı erişim kuralları yapılandırın. Bu, diğer web sitelerinden hotlink yapılmasını engeller ve gereksiz trafik maliyetlerinden korunmanızı sağlar.
Bir tarayıcı OSS'e istek gönderdiğinde, istek üstbilgisi kaynağı belirten bir Referer içerir. Hotlink koruması yapılandırılmışsa, OSS isteğe izin vermek veya reddetmek için Referer'ı yapılandırılan kurallarla değerlendirir:
İstekteki Referer, engelleme listesindeki bir girişle eşleşirse veya izin listesindeki hiçbir girişle eşleşmezse, OSS isteği reddeder.
İstekteki Referer, izin listesindeki bir girişle eşleşirse, OSS isteğe izin verir.
Örneğin, içinde https://10.10.10.10 bulunan bir Referer izin listesine sahip bir paketi düşünün.
A Kullanıcısı, pakette depolanan test.jpg resmini
https://10.10.10.10web sitesine yerleştirir. Bir tarayıcı bu resmi istediğinde, istek üstbilgisi Referer olarakhttps://10.10.10.10içerir. Bu durumda, OSS isteğe izin verir.B Kullanıcısı, test.jpg resmine hotlink yapar ve bunu
https://192.168.0.0web sitesine yerleştirir. Bir tarayıcı bu resmi istediğinde, istek üstbilgisi Referer olarakhttps://192.168.0.0içerir. Bu durumda, OSS isteği reddeder.
Daha fazla bilgi için bkz. Hotlink koruması.
Çapraz kaynak paylaşımını (CORS) yapılandırma
Çapraz kaynak paylaşımı (CORS), web sunucularının farklı kaynaklardan erişimi kontrol ederek güvenli çapraz kaynak veri aktarımlarını sağlamasına olanak tanıyan standart bir mekanizmadır. Tarayıcılar, potansiyel olarak kötü amaçlı dosyaları yalıtmak için aynı kaynak ilkesini uygular. Varsayılan olarak, bir kaynaktaki JavaScript kodu farklı bir kaynaktaki bir kaynağa erişmeye çalışırsa tarayıcı isteği engeller.
OSS, çapraz kaynak isteklerine izin vermek veya bunları reddetmek için CORS kuralları yapılandırmanıza olanak tanır. Örneğin, yalnızca www.aliyun.com kaynağından ve GET çapraz kaynak istek yöntemiyle gelen isteklere izin vermek için CORS kuralını aşağıdaki gibi yapılandırın:
CORS Kuralı Oluştur iletişim kutusunda, Allowed Headers ve Exposed Headers alanlarını boş bırakın. Cache Timeout (Seconds) değerini 0 olarak ayarlayın ve Vary: Origin seçeneğinin işaretini kaldırın.
Daha fazla bilgi için bkz. CORS yapılandırma.
Nesne adları için sıralı ön eklerden kaçınma
Çok sayıda nesne yüklediğinizde, zaman damgaları, alfabetik diziler, tarihler veya sayısal ID'ler gibi tahmin edilebilir, sıralı ön ekler kullanmak saldırganların adlandırma desenini yineleyerek tüm nesnelerinizi tahmin etmesine ve almasına olanak tanır. Bu durum veri sızıntılarına yol açabilir. Nesne adı numaralandırma riskini önemli ölçüde azaltmak için nesne adlarınıza rastgele onaltılık karma ön eki ekleyin veya adın karakterlerini ters çevirin. Daha fazla bilgi için bkz. Veri güvenliği.