云服务器ECS安全性-阿里云服务器ECS使用教程

云产品安全形势

网络安全威胁态势

近年来网络安全威胁越来越多，各种安全事件频出，根据Splunk发布的《2022年全球网络安全态势报告》数据显示：

• 49%的企业表示，他们在过去两年中遭受了数据泄露，比一年前调查中的39%有所增加。

• 79%的受访者表示，他们遇到过勒索软件攻击，35%的受访者承认曾有一次或多次受到攻击导致其无法访问数据和系统。

• 59%的安全团队表示，他们必须投入大量时间和资源进行补救，这一比例高于一年前的42%。

• 因网络安全事件而遭受计划外停机的业务关键型工作负载的平均恢复时间为14小时，受访者估计这种停机的平均损失约为每小时20万美元。

传统IT结构向云化架构转变，也会带来新的安全挑战。可能一个误操作就会让自己的应用从内网访问到公网访问或者泄露了自己的密钥导致信息安全事件。安全和合规是数字化转型的基石，也是上云的第一步。

云上信息资产保护的前提

您需要明确安全战略的地位，提高足够的重视度，系统和应用安全不是一蹴而就的，需要大量精力持续投入、持续建设。

• 需要制定一个全局的安全战略，并规划完整的安全防御策略，以使用合适的安全工具以及控件进行保护。

• 安全性集成到DevOps中。

• 自动化系统安全防御体系。

• 深入了解云环境安全合规性标准。

除此之外，您需要明确以下内容：

• 对所有信息资产做识别、定义和分类。

• 定义需要被保护的资产数据。

• 定义被保护的资产数据谁可以访问，明确访问的目的是什么。

如何保护云上信息资产

通常意义上的云计算安全或云安全是指通过一系列策略、控制和技术，共同确保数据、基础设施和应用的安全，保护云计算环境免受外部和内部网络安全威胁和漏洞的影响。越来越多的企业更加重视云安全合规，云上安全合规需要有自上而下的顶层设计，要以安全为出发点构建云上应用。

根据目前的安全趋势，阿里云推荐您使用如下表所示的安全最佳实践来保护云上信息资产的安全。

阿里云账号安全

开启MFA多因素账号认证

建议为阿里云账号启用MFA多因素认证，即在用户名和密码（第一层安全要素）的基础上，增加了MFA安全码（第二层安全要素，MFA设备生成的动态验证码），以提高账号的安全性。具体操作，请参见启用MFA。

使用RAM用户而不是阿里云账号，并合理设置权限策略

确保用户访问ECS资源时使用最小化权限，避免共享账号或过于宽泛的授权。使用访问控制RAM时，建议直接使用阿里云账号创建RAM用户（用户组）并授予特定权限策略，实现在账号维度上对云服务器ECS资源进行细粒度的访问控制。更多信息，请参见通过RAM用户控制资源访问。

• RAM用户

  如果您购买了多台云服务器ECS实例，您的组织里有多个用户（例如员工、系统或应用程序）需要使用这些实例，您可以创建多个子用户并通过授权的方式使部分用户能够有权限使用这些实例，从而避免了将同一个AccessKey分发给多人的安全风险。

• 用户组

• 您可以创建多个用户组，并授予不同的权限策略，以提高批量管理的效率。例如，为了加强网络安全控制，您可以给某个用户组授权一个权限策略，该策略可以规定：如果用户的IP地址不是来自企业网络，则拒绝此类用户请求访问相关的ECS资源。

• 您可以创建多个用户组来管理不同工作职责的人员。例如，如果某开发人员的工作职责发生转变，成为一名系统管理人员，您可以将其从Developers用户组移到SysAdmins用户组。

• 用户组的策略

• SysAdmins：该用户组需要创建和管理权限。您可以给SysAdmins组授予一个权限策略，该策略授予用户组成员执行所有ECS操作的权限，包括ECS实例、镜像、快照和安全组等。

• Developers：该用户组需要使用实例的权限。您可以给Developers组授予一个权限策略，该策略授予用户组成员调用DescribeInstances、StartInstance、StopInstance、RunInstances和DeleteInstance等权限。

云产品API调用使用实例角色而不是AK

一般情况下，ECS实例的应用程序是通过阿里云账号或者RAM用户的AccessKey访问阿里云各产品的API。为了满足调用需求，需要直接把AccessKey固化在实例中，例如写在配置文件中。但是这种方式权限过高，存在泄露信息和难以维护等问题。因此，阿里云推出了实例RAM角色解决这些问题，一方面可以保证AccessKey安全，另一方面也可以借助RAM实现权限的精细化控制和管理。

实例RAM角色（推荐使用加固模式访问元数据）允许您将一个角色关联到ECS实例，在实例内部基于STS（Security Token Service）临时凭证（临时凭证将周期性更新）访问其他云产品的API。更多信息，请参见实例RAM角色概述。

AK防泄密

阿里云账号AccessKey是客户访问阿里云API的密钥，请务必妥善保管。请勿通过任何方式（如GitHub等）将AccessKey公开至外部渠道，以免被恶意利用而造成安全威胁。AccessKey泄露会威胁所有资源的安全，根据如下AK信息使用的安全建议，可以有效降低AccessKey泄露的风险。

您在使用阿里云产品过程中需要遵循以下几点AK信息使用安全建议，以降低凭证泄露造成的影响：

• 不要将AccessKey嵌入代码中。

• 定期轮换AccessKey。

• 定期吊销不需要的AccessKey。

• 遵循最小权限原则，使用RAM用户。

• 开启操作日志审计，并将其投递至OSS和SLS保存和审计。

• 可以开启acs:SourceIp限定公网IP网段访问阿里云API。

• 通过设置acs:SecureTransport取值为true，表示通过HTTPS方式访问阿里云。

账号、密码管理安全建议

规模化信息资产管理