阿里云服务器安全性怎么样？如何提高实例、操作系统、资源等方面的安

2023-06-08  本文已影响0人  阿里云最新优惠和活动汇总

本文为您介绍面对目前的网络安全形势及挑战，阿里云在使用账号、实例、操作系统、资源等方面提高安全性的做法以及具备的能力。

首先分享一下2023年可以便宜购买阿里云服务器的长期优惠活动
实际上我们大多数用户购买的时候都是在阿里云各种活动中去买，阿里云活动有长期的也有短期的，2023年阿里云会一直做下去且优惠力度比较大的有3个活动，分别是：
1、云产品通用代金券活动
活动地址：阿里云官方云小站平台
代金券是阿里云不定期为用户发放的满减性质的优惠券种，使用范围通常为云产品通用，可以叠加新客户专享价格使用。这个阿里云代金券是免费领取的，如果你还没有领取过阿里云代金券，可以领取这个代金券。

云小站代金券图.png

2、云产品综合性活动
活动地址：新人特惠专享
这是阿里云的一个综合性活动，活动分为上云必备专区、爆款产品专区、企业应用专区、云服务器专区、热卖云产品专区和云市场5折起专区，基本上用户想要购买的热门云产品在这个活动都能买到。

新人特惠活动信息图.png

3、云服务器专属活动
活动地址：云服务器降价活动
云服务器全面降价，持续降低用云成本，让算力更普惠，指定云服务器低至0.3元/天。轻负载场景推荐轻量应用服务器低至108元/年；性价比推荐u1系列，成本最高下降40%；企业推荐c7/g7/r7系列，最高降幅达20%。

云服务器新人特惠最新图.png

背景信息

安全涵盖的范围广泛，阿里云保证自身云基础设施和服务的安全，例如机房、虚拟化平台等，但您在使用云产品过程中遵循安全实践同样重要，例如阿里云账号安全、机密信息保管、权限控制等。

云产品安全形势

网络安全威胁态势

近年网络安全威胁越来越多，各种安全事件频出，根据splunk发布的2022年全球网络安全态势报告数据显示：

传统IT结构向云化架构转变，也会带来新的安全挑战。可能一个误操作就会让自己的应用从内网访问到公网访问或者泄露了自己的密钥导致信息安全事件。安全和合规是数字化转型的基石，也是上云的第一步。

安全责任共担模型

不同于传统的IDC，云计算是一种共享技术模型，其安全责任由双方共同承担，这通常被称为安全责任共担模型。对于托管ECS的服务，您与ECS对安全性、合规性负有相同的责任。一般而言，ECS负责云的安全性，而您负责云中的安全性。

云上信息资产保护的前提

您需要明确安全战略的地位，提高足够的重视度，系统和应用安全不是一蹴而就，需要大量精力持续投入、持续建设。

除此之外，您需要明确以下内容：

如何保护云上信息资产

通常意义的云计算安全或云安全是指通过一系列策略、控制和技术，共同确保数据、基础设施和应用安全，保护云计算环境免受外部和内部网络安全威胁和漏洞的影响。越来越多的企业更加重视云安全合规，云上安全合规需要有自上而下的顶层设计，要以安全为出发点构建云上应用。

根据目前的安全趋势，阿里云推荐您使用如下表所示的安全最佳实践，来保护云上信息资产的安全。

安全项 最佳实践 说明
账号安全 阿里云账号安全 开启MFA多因素账号认证
使用RAM用户而不是阿里云账号，并合理设置权限策略
云产品API调用使用实例角色而不是AK
AK防泄密
账号、密码管理安全建议
应用资源管理 规模化信息资产管理 使用标签规模化管理资源
使用云助手自动化运维资源通道
使用配置审计（Config）对资源进行合规审计
使用应用配置管理ACM集中管理所有应用配置
信息数据安全 创建实例时启用安全合规特性 高安全要求业务使用增强计算实例
满足三级等保合规镜像
使用更安全的镜像
云盘数据加密
快照容灾备份
加固模式下访问实例元数据
网络环境安全 合理设置网络资源权限隔离 网络资源隔离的安全建议
搭建安全的网络环境
应用防护安全 使用云安全产品构建安全防御体系 网络流量攻击防护：基础DDoS防御（免费）与DDoS高防
系统漏洞攻击防护：云安全中心（免费版）
应用漏洞攻击防护：云安全中心Web防火墙
实例内GuestOS应用系统安全 实例GuestOS系统内应用安全 实例登录安全配置
避免服务弱口令
使用IDaaS认证应用系统身份权限
数据传输加密
日志异常监控与审计

阿里云账号安全

开启MFA多因素账号认证

建议为阿里云账号启用MFA多因素认证，即在用户名和密码（第一层安全要素）的基础上，增加了MFA安全码（第二层安全要素，MFA设备生成的动态验证码），以此提高账号安全性。

使用RAM用户而不是阿里云账号，并合理设置权限策略

确保用户访问ECS资源使用最小使用权限，避免共享账号或是过于宽泛的授权。使用访问控制RAM时，建议直接使用阿里云账号创建RAM用户（用户组）并授予特定权限策略，实现在账号维度上对云服务器ECS资源进行细粒度的访问控制。

云产品API调用使用实例角色而不是AK

一般情况下，ECS实例的应用程序是通过阿里云账号或者RAM用户的AccessKey访问阿里云各产品的API。为了满足调用需求，需要直接把AccessKey固化在实例中，例如写在配置文件中。但是这种方式权限过高，存在泄露信息和难以维护等问题。因此，阿里云推出了实例RAM角色解决这些问题，一方面可以保证AccessKey安全，另一方面也可以借助RAM实现权限的精细化控制和管理。

实例RAM角色（推荐使用加固模式访问元数据）允许您将一个角色关联到ECS实例，在实例内部基于STS（Security Token Service）临时凭证（临时凭证将周期性更新）访问其他云产品的API。

AK防泄密

阿里云账号AccessKey是客户访问阿里云API的密钥，请务必妥善保管。请勿通过任何方式（如Github等）将AccessKey公开至外部渠道，以免被恶意利用而造成安全威胁。AccessKey泄露会威胁所有资源的安全，根据如下AK信息使用安全建议，可以有效降低AccessKey泄露的风险。

您在使用阿里云产品过程中需要遵循以下几点AK信息使用安全建议，降低凭证泄漏造成的影响：

账号、密码管理安全建议

类别 策略说明
阿里云账号 管理员账号必须开启MFA认证。
账号分级权限设置，最小权限授权原则。
禁用root账号访问API或常用请求方法。
建议使用服务目录集中身份管理。
密钥、凭据 过期的证书、凭据禁止使用。
根账号需删除访问密钥。
定期清理30天以上不再使用的密钥、凭据。
监控密钥、凭据最新使用情况。
定期自动扫描您的Git仓库和历史记录，排查密钥泄露的可能。
密码 定期修改密码、设置密码时需符合密码强度校验。
密码复杂度策略强制实施。
设置与其他平台不一致的复杂账号密码，避免不慎泄露后影响多个平台中资源的安全。
建议AK以及其他账号密码信息使用KMS安全托管，避免明文落盘存储。
主机上不同账号间不应共享密码或密钥对。
机密信息使用KMS安全加固托管 机密数据明文落盘存储会导致泄漏风险，建议您提前开通密钥管理服务，无需自行研发和运维密码设施，即可在云服务中使用数据加密功能，例如在云服务器ECS中使用云盘加密、实例可信启动等功能。

规模化信息资产管理

规模化、自动化运维与审计云上资源，避免因错误的配置变更造成出现例外或单点资产保护遗漏情况。建议您统一实例、安全组的命名安全与部署约定，统一命名规范，定期检测、提醒或删除不符合命名规范的安全组和实例。使用标签规模化管理资源、使用云助手自动化运维资源通道、使用配置审计对资源进行合规审计、使用应用配置管理ACM集中管理所有应用配置。

使用标签规模化管理资源

使用云助手自动化运维资源通道

传统的运维通道需要借助SSH取得密钥进行管理，并开放相应的网络端口，密钥管理不当以及网络端口暴露都会对云上资源带来很大的安全隐患。云助手是专为云服务器ECS打造的原生自动化运维工具，通过免密码、免登录、无需使用跳板机的形式，在ECS实例上实现批量运维、执行命令（Shell、Powershell和Bat）和发送文件等操作。典型的使用场景包括：安装卸载软件、启动或停止服务、分发配置文件和执行一般的命令（或脚本）等。可以帮助客户安全、高效的运维云上资源。通过云助手，可以在云服务器ECS上实现批量运维、执行命令和发送文件等操作；通过云助手Session Manager，可以交互式运维ECS实例。以上运维操作都无需密码、无需登录，ECS实例不需要使用公网，也不需要通过跳板机，通过云助手以下安全机制保证运维通道的安全性：

使用配置审计（Config）对资源进行合规审计

配置审计（Config）是面向云上资源的审计服务，为用户提供跨区域的资源清单和检索能力，记录资源的历史配置快照，形成配置时间线。当资源发生配置变更时，自动触发合规评估，并针对不合规配置发出告警。使用户能够实现对于海量云上资源合规性的自主监控，应对企业内部和外部合规的需要。

使用应用配置管理ACM集中管理所有应用配置

应用配置管理ACM（Application Configuration Management）是一款在分布式架构环境中对应用配置进行集中管理和推送的产品。凭借配置变更、配置推送、历史版本管理、灰度发布、配置变更审计等配置管理工具，ACM能帮助您集中管理所有应用环境中的配置，降低分布式系统中管理配置的成本，并降低因错误的配置变更造成可用性下降甚至发生故障的风险。

创建实例时启用安全合规特性

高安全要求业务使用增强计算实例

如果您的业务面向高安全可信要求的场景，可以使用安全增强型实例，保障实例可信启动和实例中隐私数据的安全。

例如，选择c6t规格。


p280229.png

满足三级等保合规镜像

阿里云根据国家信息安全部发布的GB/T22239-2019信息安全技术网络安全等级保护基本要求中对操作系统提出的一些等级保护要求，推出自研云原生操作系统Alibaba Cloud Linux等保2.0三级版镜像。您使用本镜像无需额外配置即可满足身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范的等保合规要求。


p280231.png

使用更安全的镜像

云盘数据加密（需开启KMS）

选择云盘数据加密，能够最大限度保护您的数据安全，您的业务和应用程序无需做额外的改动。同时该云盘生成的快照及这些快照创建的云盘将自动延续加密属性。数据加密适用于数据安全或法规合规等场景，帮助您加密保护存储在阿里云ECS上的数据。无需自建和维护密钥管理基础设施，您就能保护数据的隐私性和自主性，为业务数据提供安全边界。被加密的云盘可以是系统盘和数据盘。


p280273.png

快照容灾备份

加固模式下访问实例元数据

实例元数据包含了ECS实例在阿里云系统中的信息，您可以在运行中的实例内方便地查看实例元数据，并基于实例元数据配置或管理实例。

建议您在加固模式下使用实例元数据，加固模式下实例和实例元数据服务器间建立一个会话，并在查看实例元数据时通过Token验证身份，超过有效期后关闭会话并清除Token。Token具有以下特点：

合理设置网络资源权限隔离

云计算利用专有网络VPC（Virtual Private Cloud）来抽象物理网络并创建网络资源池，实现数据链路层的隔离，为每个用户提供一张独立隔离的安全网络环境。不同VPC之间内部网络完全隔离，只能通过对外映射的IP互连。在VPC内部，用户可以自定义IP地址范围、网段、路由表和网关等。此外，用户可以通过VPN网关、高速通道物理专线、智能接入网关等服务将本地数据中心和云上VPC打通，也可以通过云企业网实现全球网络互通，从而形成一个按需定制的网络环境，实现应用的平滑迁移上云和对数据中心的扩展。

此外，网络是所有云服务的基础要素，网络攻击种类多、危害大，是最难防护的风险之一。云计算平台会提供一套成熟的网络安全架构，以应对来自互联网的各种威胁。在阿里云上，可以通过安全组、网络ACL、路由策略或网络专线来控制虚拟网络的访问权限。除了对内网网络访问的控制之外，还需要配置云防火墙、应用程序防火墙、DDoS防护等安全措施，针对各种外部网络安全威胁，进行安全防护。

网络资源隔离的安全建议

网络资源隔离的安全建议如下：

搭建安全的网络环境

合理设置安全组，网络隔离减少攻击面
安全组是重要的网络安全隔离手段，用于设置单台或多台云服务器的网络访问控制。通过设置安全组规则，可以在网络层过滤服务器的主动/被动访问行为，限定服务器对外/对内的端口访问，授权访问地址，从而减少攻击面，保护服务器的安全。

例如Linux系统默认远程管理端口22，不建议直接向外网开放，可以通过配置ECS公网访问控制，只授权本地固定IP对服务器进行访问。如果您对访问控制有更高要求，可以使用第三方VPN产品对登录行为进行数据加密。以下是安全组实践的安全建议：

安全建议 说明
最小原则 安全组应该是白名单性质的，所以需尽量开放和暴露最少的端口，同时尽可能少地分配公网 IP。如果需要访问线上机器进行任务日志或错误排查的时候尽量通过VPN或堡垒机方式登录。如果配置不当可能导致业务的端口或者IP暴露在互联网，造成安全威胁。
利用安全组限制，禁止私网访问，公网安全组和私网安全组都只保留业务需要使用的端口。
ECS上安装的高危服务端口，需要限制只允许本机访问或者利用安全组限制访问来源IP。
HTTP服务的管理后台，需要利用安全组限制访问来源IP。HTTP服务域名则需要开启云安全中心Web应用防火墙WAF（Web Application Firewall）功能。
避免设置0.0.0.0/0授权对象 允许全部入网访问是经常犯的错误。使用0.0.0.0/0意味着所有的端口都对外暴露了访问权限，这是非常不安全的。正确的做法是，拒绝所有的端口对外开放，设置安全组白名单访问。例如，如果您需要暴露Web服务，默认情况下只开放80、8080和443之类的常用TCP端口，其他端口都应关闭。
关闭不需要的入网规则 如果您当前使用的入规则已经包含了0.0.0.0/0，您需要重新审视自己的应用需要对外暴露的端口和服务。如果确定不需要让某些端口直接对外提供服务，您可以添加一条拒绝的规则。例如，您的服务器上安装了MySQL数据库服务，默认情况下不应该将3306端口暴露到公网，此时，您可以添加一条拒绝规则，并将其优先级设置为100，即优先级最低。
以安全组为授权对象添加规则 不同的安全组按照最小原则开放相应的出入规则。对于不同的应用分层应该使用不同的安全组，不同的安全组应有相应的出入规则。
例如，如果是分布式应用，您会区分不同的安全组，但是不同的安全组可能网络不通，此时您不应该直接授权IP或者CIDR网段，而是直接授权另外一个安全组ID，所有的资源都可以直接访问。
例如，您的应用对Web、Database分别创建了不同的安全组sg-web和sg-database。在sg-database中，您可以添加规则，授权所有的sg-web安全组的资源访问您的3306端口。
经典网络的内网安全组规则不要使用CIDR或者IP授权 对于经典网络类型的ECS实例，阿里云默认不开启任何内网的入规则。内网的授权一定要谨慎。
定义合理的安全组名称和标签 合理的安全组名称和描述有助于您快速识别当前复杂的规则组合，您可以通过修改名称和描述来帮助自己识别安全组。
您也可以通过为安全组设置标签分组管理自己的安全组。您可以在控制台直接设置标签，也可以通过API设置标签。
将需要互相通信的ECS实例加入同一个安全组 一个ECS实例最多可以加入5个安全组，而同一安全组内的ECS实例之间是网络互通的。如果您在规划时已经有多个安全组，且直接设置多个安全规则过于复杂的话，您可以新建一个安全组，然后将需要内网通讯的ECS实例加入这个新的安全组。
不建议您将所有的ECS实例都加入同一个安全组，对于一个中大型应用来说，每个服务器编组的角色不同，合理地规划每个服务器的入方向请求和出方向请求是非常有必要的。
安全组内实例间隔离 安全组是一种虚拟防火墙，具备状态检测和包过滤功能。安全组由同一个地域内具有相同安全保护需求并相互信任的实例组成。为了满足同安全组内实例之间网络隔离的需求，阿里云丰富了安全组网络连通策略，支持安全组内实现网络隔离。
使用安全组五元组规则 安全组用于设置单台或多台ECS实例的网络访问控制，它是重要的网络安全隔离手段，用于在云端划分安全域。安全组五元组规则能精确控制源IP、源端口、目的IP、目的端口以及传输层协议。
公网服务的云服务器和内网服务器尽量属于不同的安全组 是否对外提供公网服务，包括主动暴露某些端口对外访问（例如80、443等），被动地提供端口转发规则（例如云服务器具有公网IP、EIP、NAT端口转发规则等），都会导致自己的应用可能被公网访问。
两种场景的云服务器所属的安全组规则要采用最严格的规则，默认情况下应当关闭所有的端口和协议，仅仅暴露对外提供需要服务的端口，例如80、443。由于仅对属于对外公网访问的服务器编组，调整安全组规则时也比较容易控制。
对于对外提供服务器编组的职责应该比较明晰和简单，避免在同样的服务器上对外提供其他服务。例如MySQL、Redis等，建议将这些服务安装在没有公网访问权限的云服务器上，然后通过安全组的组组授权来访问。

使用云安全产品构建安全防御体系

网络流量攻击防护：基础DDoS防御（免费）与DDoS高防

DDoS（Distributed Denial of Service，即分布式拒绝服务）攻击指借助于客户、服务器技术，联合多个计算机作为攻击平台，对一个或多个目标发动攻击，成倍地提高拒绝服务攻击的威力，影响业务和应用对用户提供服务。阿里云云安全中心可以防护SYN Flood、UDP Flood、ACK Flood、ICMP Flood、DNS Flood、CC攻击等3到7层DDoS的攻击。DDoS基础防护免费提供高达5 GB的默认DDoS防护能力。

ECS实例默认开启DDoS基础防护服务。使用DDoS基础防护服务，无需采购昂贵清洗设备，受到DDoS攻击时不会影响访问速度，带宽充足不会被其他用户连带影响，保证业务可用和稳定。

在此基础上，阿里云推出了安全信誉防护联盟计划，将基于安全信誉分进一步提升DDoS防护能力，您可获得高达100 GB以上的免费DDoS防护资源。您可以在云安全中心DDoS基础防护控制台中查看您账号当前的安全信誉分、安全信誉详情和评分依据，如果您对DDoS防御有更高要求的可购买DDoS高防。

系统漏洞攻击防护：云安全中心（免费版）

云安全中心是一个实时识别、分析、预警安全威胁的统一安全管理系统，通过防勒索、防病毒、防篡改、合规检查等安全能力，实现威胁检测、响应、溯源的自动化安全运营闭环，保护云上资产和本地主机并满足监管合规要求。

云安全中心自动为您开通免费版功能。免费版仅提供主机异常登录检测、漏洞检测、云产品安全配置项检测，如需更多高级威胁检测、漏洞修复、病毒查杀等功能，请前往云安全中心控制台购买付费版。

应用漏洞攻击防护：云安全中心Web防火墙

云安全中心Web应用防火墙（Web Application Firewall，简称WAF）基于云安全大数据能力实现，通过防御SQL注入、XSS跨站脚本、常见Web服务器插件漏洞、木马上传、非授权核心资源访问等OWASP常见攻击，过滤海量恶意CC攻击，避免您的网站资产数据泄露，保障网站的安全与可用性。

接入Web应用防火墙的好处如下：

实例GuestOS系统内应用安全

实例登录安全配置

实例登录账号权限默认非root权限，需用户在本地通过su或sudo提权至root，默认状态不支持root直接使用pem密钥文件登录。建议使用安全的访问控制协议访问ECS主机，并根据镜像类型选择不同的登录凭证。Linux系统建议配置只支持rsa密钥对的方式登录，不支持在控制台创建口令。Windows系统建议使用8位以上包含特殊字符的复杂密码作为登录凭证。

Linux实例：

Windows实例：

避免服务弱口令

如果您的服务器使用弱口令登录，黑客可能会非法登录您的服务器，窃取服务器数据或破坏服务器。建议您为服务器设置复杂的登录口令，并定期提升登录口令的安全性。口令提升方法：

使用IDaaS认证应用系统身份权限

云身份服务 IDaaS（Alibaba Cloud IDentity as a Service）是阿里云为企业用户提供的云原生的、经济的、便捷的、标准的身份、权限管理体系。IDaaS提供一站式组织架构、账户全生命周期管理、应用接入实现单点登录（SSO），并控制账号所具备的权限等能力。

数据传输加密

配置安全组或防火墙，仅允许已经对数据加密的网络服务的端口之间进行通信。可使用传输层安全性（TLS1.2及以上版本） 等加密协议加密在客户端和实例之间传输的敏感数据。

日志异常监控与审计

根据FireEye M-Trends 2018报告，企业安全防护管理能力薄弱，尤其是亚太地区。全球范围内企业组织的攻击从发生到发现所需时长平均101天，而亚太地域平均需要498天。企业需要可靠、无篡改的日志记录与审计支持来持续缩短这个时间。

建议您使用云监控、操作审计、日志审计、VPC流日志、应用日志等构建一套异常资源、权限访问监控告警体系，对及时发现问题与止损、优化安全防御体系有着至关重要的意义。

上一篇 下一篇

猜你喜欢

热点阅读