云服务器内容精选

华为云首页用户手册

安全云脑 SECMASTER

安全云脑 SECMASTER-产品功能:风险预防

风险预防风险预防提供基线检查、漏洞管理、策略管理功能，帮助您的云安全配置达到等保、ISO、PCI等各类权威安全标准和华为云安全最佳实践标准；知晓全局的漏洞分布，并一键修复漏洞。表7 风险预防功能介绍功能模块功能描述基础版标准版专业版基线检查通过执行云服务基线扫描，检查基线配置风险状态，告警提示存在安全隐患的配置，并提供基线加固建议。 √ √ √ 漏洞管理通过自动同步华为云主机安全服务（Host Security Service，HSS）的漏洞扫描数据，分类呈现漏洞扫描详情，支持查看漏洞详情，并提供相应漏洞修复建议。 × × √ 应急漏洞公告针对业界披露的热点安全漏洞，支持每5分钟抓取一次安全漏洞讯息，获取最新应急漏洞公告详情。 √ √ √ 策略管理支持统一管理防线策略和应急策略。 × √ √

安全云脑 SECMASTER
安全云脑 SECMASTER-产品功能:威胁运营

威胁运营威胁运营提供丰富的威胁检测模型，帮助您从海量的安全日志中，发现威胁、生成告警；同时，提供丰富的安全响应剧本，帮助您对告警进行自动研判、处置，并对安全防线和安全配置自动加固。表8 威胁运营功能介绍功能模块功能描述基础版标准版专业版事件管理集中呈现事件详情，支持人工转事件、自动化转事件。 × √ √ 告警管理通过集成云服务告警，包含HSS、WAF、DDoS等，集中呈现并管理告警信息。 × √ √ 情报管理支持基于告警和事件自定义规则提取指标。 × × √ 智能建模支持利用模型对管道中的日志数据进行扫描，如果检测到有满足模型中设置触发条件的内容时，系统将产生告警提示。 × √ √ 安全分析查询与分析检索分析：支持数据的快捷检索分析，支持安全调查场景安全数据的快速筛留、筛除等操作，快速定位关键数据。筛选统计：支持数据字段快速分析统计，并基于分析结果进行数据的快速筛选；时序数据支持默认时间分区统计，快速识别数据量的变化趋势，支持基于时间分区的快速筛选；支持分析、统计、排序等丰富统计分析函数，支撑快速构建安全分析模型。可视化：支持数据可视化分析，直观反映业务结构性和趋势性特征，并基于此构建自定义分析报告和分析指标。数据投递：支持将数据实时投递至其他管道或其他华为云产品中，便于您存储数据或联合其它系统消费数据。数据监控：支持数据流量端到端的监控管理。数据消费：提供数据消费和生产的流式通信接口，提供数据管道集成SDK，支持租户利用SDK进行系统集成，支持客户自定义数据的生产和消费。提供Logstash开源采集软件插件，支持利用开源生态进行数据消费和生产。说明：需额外购买增值包中的安全分析功能。其中，安全分析、内置剧本、安全编排含有赠送配额，具体说明请参见赠送规格说明。 × √ √ 安全舆情安全舆情监测可以持续挖掘和感知互联网安全态势变化，及时发现和挖掘与您有关的安全事件、安全漏洞、社会影响、品牌舆情、热搜分析等，还可以将监测形成分析报告，协助您掌握舆情动态，并对潜在的各类舆情风险点进行监测和综合研判。说明：仅部分region支持使用安全舆情监测功能，具体开放region请参见功能总览。其他region如需使用该功能，需先提交工单申请开通使用权限。 √ √ √

安全云脑 SECMASTER
安全云脑 SECMASTER-产品功能:赠送规格说明

赠送规格说明安全云脑增值包中的安全分析、安全编排功能在不同的版本有不同的赠送配额，具体说明如下：表13 赠送规格说明功能标准版专业版安全分析安全数据采集 120 MB/天/配额 120 MB/天/配额安全数据保留 120 MB/天/配额 120 MB/天/配额安全数据导出 120 MB/天/配额 120 MB/天/配额平台安全数据 40 MB/天/配额 40 MB/天/配额安全建模分析 × 120 MB/天/配额威胁管理预制威胁模型 × 计算模型数据120 MB/天/配额；预置模型200个预制响应剧本 × 预置剧本30个安全编排安全编排 × 操作7000次

安全云脑 SECMASTER
安全云脑 SECMASTER-产品功能:安全编排

安全编排安全编排支持剧本管理、流程管理、数据类管理（安全实体对象）和资产连接管理等。同时，可以自定义剧本和流程等。通过安全编排可以对安全响应剧本进行拖拽式的灵活编排，动态适配您的业务需求。也可以对安全运营的对象、交互的页面进行灵活扩展和定义。表9 安全编排功能介绍功能模块功能描述基础版标准版专业版运营对象集中对数据类、数据类类型、分类映射等运营对象进行管理。 × √ √ 剧本编排支持对剧本、流程、资产连接、实例的全生命周期管理。说明：需额外购买增值包中的安全编排功能。其中，安全分析、内置剧本、安全编排含有赠送配额，具体说明请参见赠送规格说明。 × √ √ 页面布局提供安全可视化低代码开发平台，基于此平台可自定义安全分析报告、告警管理、事件管理、漏洞管理、基线管理、威胁情报指标库管理等页面布局。 × √ √ 插件管理支持将安全编排流程中使用的插件进行统一管理。 × × √

安全云脑 SECMASTER
安全云脑 SECMASTER-产品功能:总览

总览总览呈现云上整体安全评估状况，并联动其他云安全服务，集中展示云上安全。表1 总览功能介绍功能模块功能描述基础版标准版专业版总览安全评分：根据安全云脑的威胁检测能力，评估整体资产安全健康得分，可快速了解未处理风险对资产的整体威胁状况。评估得分越低，即风险值越大，则整体资产安全隐患越大。安全监控：集中呈现未处理的威胁告警、漏洞和合规检查的风险数目，支持快速查看威胁告警、漏洞和合规风险详情。安全趋势：呈现最近7天整体资产安全健康得分的趋势图。 √ √ √

安全云脑 SECMASTER
安全云脑 SECMASTER-产品功能:工作空间管理

工作空间管理工作空间属于安全云脑顶层工作台，单个工作空间可绑定普通项目、企业项目和Region，可支撑不同场景下的工作空间运营模式。表2 工作空间功能说明功能模块功能描述基础版标准版专业版工作空间空间管理：安全云脑顶层工作台，单个工作空间可绑定项目和Region，可支撑不同场景下的工作空间运营模式。空间托管：跨账号安全运营，可实现工作空间委托集中安全运营查看统一资产风险、告警和事件等。 √ √ √

安全云脑 SECMASTER
安全云脑 SECMASTER-产品功能:安全态势

安全态势支持通过安全态势即时查看大屏、定期订阅安全运营报告，了解安全运营核心关注指标。表5 安全态势功能介绍功能模块功能描述基础版标准版专业版态势总览安全评分：根据安全云脑的分析检测能力，评估整体资产安全健康得分，可快速了解未处理风险对资产的整体威胁状况。评估得分越低，即风险值越大，则整体资产安全隐患越大。安全监控：集中呈现未处理的威胁告警、漏洞和合规检查的风险数目，支持快速查看威胁告警、漏洞和合规风险详情。安全趋势：呈现最近7天整体资产安全健康得分的趋势图。 √ √ √ 安全大屏利用AI技术将海量云安全数据的分析并分类，通过安全大屏将数据可视化展示，集中呈现云上实时动态，云上关键风险一目了然，掌握云上安全态势更简单，更直观，更高效。说明：安全大屏功能需要在标准版/专业版基础上单独购买。安全大屏还联动Astro大屏应用（Astro Canvas，简称AstroCanvas），支持指标自定义接入，页面零代码开发，数据分钟级接入。 × √ √ 安全报告通过创建分析报告，定时以邮件形式向指定的收件人发送安全报告，及时掌握资产的安全状况数据。 × × √ 任务中心集中呈现当前需要进行处理的任务。 × √ √

安全云脑 SECMASTER
安全云脑 SECMASTER-产品功能:安全治理

安全治理安全治理为您提供安全治理模板与合规策略扫描服务，将安全遵从包内的法规标准条款转化成检查项。表3 安全治理功能说明功能模块功能描述基础版标准版专业版安全治理提供安全遵从包华为开放的安全治理模板，包含法规标准条款原文、扫描策略、自评估检查项以及华为专家的改进建议，覆盖PCI DSS、ISO27701、ISO27001、隐私等法规标准。用户可以订阅、取消订阅安全遵从包，查看合规评估与治理结果。合规策略扫描 Policy as Code，将安全遵从包内的法规标准条款代码化，周期性、自动化扫描云上资产的合规情况，可视化看板呈现风险，提供华为专家改进建议。自评估检查项将安全遵从包内的法规标准条款转化成检查项，租户可根据检查项完成自身业务的合规评估，查看历史评估结果，进行证据上传和下载，根据华为专家改进建议进行治理。合规结果可视可视化呈现合规评估结果与安全治理情况，包括租户订阅的法规、标准条款遵从概况，各安全遵从包状态，各策略扫描概况。说明：使用安全治理功能前，需先提交工单申请开通使用权限。 × × √

安全云脑 SECMASTER
安全云脑 SECMASTER-内置检查项:华为云安全配置基线—企业智能

华为云安全配置基线—企业智能表39 企业智能风险项检查项检查子项目检查项目云数据仓库 DWS 开启集群数据加密功能 DWS可以为集群启用数据库加密，以保护静态数据，避免拖库等安全问题。开启DWS数据库审计日志 DWS支持数据库操作审计日志，与管控面的审计互相独立，可以记录数据库内部各个用户的操作记录。建议按需开启需要记录的操作日志，方便追溯历史数据的操作，保证数据安全。开启DWS管理控制台审计日志 GaussDB (DWS)通过云审计服务（Cloud Trace Service， CTS ）记录GaussDB(DWS)管理控制台的关键操作事件，比如创建集群、创建快照、扩容集群、重启集群等。记录的日志可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。开启后方便进行控制台操作审计及问题定位。开启DWS数据库审计日志转储 DWS的数据库审计日志可以记录数据库中的连接和用户活动相关信息。这些审计日志信息有助于监控数据库以确保安全或进行故障排除或定位历史操作记录，默认存储在数据库中。可以将审计日志转储到OBS中，确保审计日志有备份，且更方便用户操作查看审计日志。开启DWS三权分立模式默认情况下，创建GaussDB(DWS)集群时指定的管理员用户属于数据库的系统管理员，能够创建其他用户和查看数据库的审计日志，即权限不分立，三权分立模式为关闭。为了保护集群数据的安全，GaussDB(DWS)支持对集群设置三权分立，使用不同类型的用户分别控制不同权限的模式。开启SSL加密传输功能 SSL协议是安全性更高的协议标准，它们加入了数字签名和数字证书来实现客户端和服务器的双向身份验证，保证了通信双方更加安全的数据传输，建议配置开启。 AI 开发平台 ModelArts 使用IP白名单的方式接入notebook Notebook实例支持通过SSH方式直接连接，通过keypair方式进行认证。除此之外，对于安全性要求更强的用户，建议配置IP白名单的方式，进一步限制能接入该实例的终端节点。对不同的子用户，使用独立的委托要使用ModelArts的资源，需要得到用户的委托授权。为了控制各子用户之间权限，建议租户在ModelArts全局配置功能中给各子用户分配委托权限时，分开授权，不要多个子用户共用一个委托凭证。使用专属资源池在使用训练、推理、开发环境时，建议生产环境下使用专属资源池，它在提供独享的计算资源情况下，还可以提供更强更安全的资源隔离能力。自定义镜像使用非root用户运行自定义镜像支持自行开发Dockerfile，并推送到SWR。出于权限控制范围的考虑，建议用户在自定义镜像时，显式定义默认运行的用户为root用户，以降低容器运行时的安全风险。开启“严格模式” 使用ModelArts的资源时，需要对不同的子用户分配不同的委托授权，达到最小化授权。 MapReduce 服务 MRS 集群EIP安全组管控 MRS集群支持绑定EIP，绑定EIP后，并开通安全组后，可以使用EIP访问MRS集群Manager管理界面，也可以使用SSH登录到MRS集群节点。因此，需要做好安全组管控，不要将不可信的IP加入到安全组的规则中，允许其访问。此外，需要放通的IP，也要控制端口范围，按需放开，不建议直接放开所有端口。管控数分设 MRS集群的常用部署模板“管控合设”、“管控分设”、“数据分设”，为了数据节点和管控节点的隔离，建议使用“管控分设”、“数据分设”方式。开启Kerberos认证 MRS集群组件使用Kerberos认证。 Kerberos认证开启时，用户需要通过认证后才可以访问组件对应资源，若不开启Kerberos认证，访问组件将不需要认证和鉴权，会给集群带来风险。

安全云脑 SECMASTER 经验包
安全云脑 SECMASTER-内置检查项:华为云安全配置基线—虚拟机与容器

华为云安全配置基线—虚拟机与容器表36 虚拟机与容器风险项检查项检查子项目检查项目云容器引擎 CCE 启用HSS的容器安全版企业主机安全（Host Security Service，HSS）是以工作负载为中心的安全产品，集成了主机安全、容器安全和网页防篡改，旨在解决混合云、多云数据中心基础架构中服务器工作负载的独特保护要求。推荐启用HSS服务保护CCE集群中的Node节点及之上的容器。禁止容器获取宿主机元数据租户使用CCE集群作为共享资源池来构建高阶服务，且允许高阶服务的最终用户在集群中创建不可控的容器负载时，应限制容器访问所在宿主机的元数据。启用LTS服务并采集容器日志云日志服务（Log Tank Service，简称LTS）用于收集来自主机和云服务的日志数据，通过海量日志数据的分析与处理，可以将云服务和应用程序的可用性和性能最大化，为您提供实时、高效、安全的日志处理能力，帮助您快速高效地进行实时决策分析、设备运维管理、用户业务趋势分析等。建议统一采集容器日志(包括容器标准输出、容器内的日志文件、节点日志文件和Kubernetes事件)并上报到LTS。禁止使用CCE已经EOS的K8S集群版本集群版本EOS后，CCE将不再支持对该版本的集群创建，同时不提供相应的技术支持，包含新特性更新、漏洞/问题修复、补丁升级以及工单指导、在线排查等客户支持，不再适用于CCE服务SLA保障。请留意CCE Console公告栏或CCE官方资料中的Kubernetes版本策略，在集群生命周期截止前参考集群升级等资料及时完成升级。集群apiserver不要暴露到公网 Kubernetes API具备访问控制能力，但偶尔存在一些无访问控制的CVE漏洞，同时为减少攻击者刺探Kubernetes API版本，建议非必须不要为集群绑定EIP，以减少攻击面。在必须绑定EIP的情况下，应通过合理配置防火墙或者安全组规则，限制非必须的端口和IP访问。限制业务容器访问管理面在节点上的业务容器无需访问kube-apiserver时，建议禁止节点上的容器网络流量访问到kube-apiserver。及时处置CCE在官网发布的漏洞 CCE服务会不定期发布涉及的漏洞，用户需及时关注和处理。对于高危漏洞，当Kubernetes社区发现漏洞并发布修复方案后，CCE一般在1个月内进行修复，修复策略与社区保持一致。在CCE官方未彻底修复漏洞前，请租户参考CCE官方提供的消减措施为最大化降低漏洞带来的影响。集群节点不要暴露到公网节点对公网暴露后，攻击者可通过互联网发起攻击，攻破节点后可能会进一步控制集群。如非必需，集群节点不建议绑定EIP，以减少攻击面。在必须绑定EIP的情况下，应通过合理配置防火墙或者安全组规则，限制非必须的端口和IP访问。在使用CCE集群过程中，由于业务场景需要，在节点上配置了kubeconfig.json文件，kubectl使用该文件中的证书和私钥信息可以控制整个集群。在不需要时，请清理节点上的/root/.kube目录下的目录文件，防止被恶意用户利用： rm -rf /root/.kube 加固K8S集群所在VPC的安全组规则 CCE作为通用的容器平台，安全组规则的设置适用于通用场景。用户可根据安全需求，通过网络控制台的安全组找到CCE集群对应的安全组规则进行安全加固。弹性云服务器 E CS 确保ECS内的重置密码插件更新到最新版本弹性云服务器提供一键式重置密码功能。当弹性云服务器的密码丢失或过期时，如果提前安装了一键式重置密码插件，则可以应用一键式重置密码功能，给弹性云服务器设置新密码。及时更新重置密码插件可确保漏洞及时得到修复。在ECS内设置防火墙策略限制对元数据的访问弹性云服务器元数据包含了弹性云服务器在云平台的基本信息，例如云服务 ID、主机名、网络信息等，亦可能包含敏感信息，GuestOS的多用户设计会导致元数据访问范围开放过大，租户APP的SSRF漏洞也可能导致元数据泄露。在ECS内设置防火墙策略限制对元数据的访问，可以限制元数据访问范围，消减元数据泄露风险。确保私有镜像开启了加密镜像加密支持私有镜像的加密。在创建弹性云服务器时，用户如果选择加密镜像，弹性云服务器的系统盘会自动开启加密功能，从而实现弹性云服务器系统盘的加密。使用密钥对安全登录ECS 密钥对，即SSH密钥对，是为用户提供远程登录云服务器的认证方式，是一种区别于传统的用户名和密码登录的认证方式。密钥对包含一个公钥和一个私钥，公钥自动保存在KPS（Key Pair Service）中，私钥由用户保存在本地。若用户将公钥配置在Linux云服务器中，则可以使用私钥登录Linux云服务器，而不需要输入密码。由于密钥对可以让用户无需输入密码登录到Linux云服务器，因此，可以防止由于密码被拦截、破解造成的账户密码泄露，从而提高Linux云服务器的安全性。裸金属服务器 BMS 使用密钥对安全登录BMS 密钥对，即SSH密钥对，是为用户提供远程登录云服务器的认证方式，是一种区别于传统的用户名和密码登录的认证方式。密钥对包含一个公钥和一个私钥，公钥自动保存在KPS（Key Pair Service）中，私钥由用户保存在本地。若用户将公钥配置在Linux云服务器中，则可以使用私钥登录Linux云服务器，而不需要输入密码。由于密钥对可以让用户无需输入密码登录到Linux云服务器，因此，可以防止由于密码被拦截、破解，造成的账户密码泄露，从而提高Linux云服务器的安全性。确保BMS内的重置密码插件更新到最新版本裸金属服务器提供一键式重置密码功能。当裸金属服务器的密码丢失或过期时，如果提前安装了一键式重置密码插件，则可以应用一键式重置密码功能，给裸金属服务器设置新密码。及时更新重置密码插件可确保漏洞及时得到修复。在BMS内设置防火墙策略限制对元数据的访问裸金属服务器元数据包含了裸金属服务器在云平台的基本信息，例如云服务 ID、主机名、网络信息等，亦可能包含敏感信息，GuestOS的多用户设计会导致元数据访问范围开放过大，租户APP的SSRF漏洞也可能导致元数据泄露。在BMS内设置防火墙策略限制对元数据的访问，可以限制元数据访问范围，消减元数据泄露风险。

安全云脑 SECMASTER 经验包
安全云脑 SECMASTER-内置检查项:华为云安全配置基线—日志与监控

华为云安全配置基线—日志与监控表35 日志与监控风险项检查项检查子项目检查项目启用RDS数据库审计功能当用户开通SQL审计功能，系统会将所有的SQL操作记录下来存入日志文件，方便用户下载并查询。SQL审计功能默认关闭，启用该功能可能会有一定的性能影响。启用DBSS数据库安全审计告警通知功能通过设置告警通知，当数据库发生设置的告警事件时，用户可以收到DBSS发送的告警通知，及时了解数据库的安全风险。否则，无论是否有危险，用户都只能登录管理控制台自行查看，无法收到告警信息。启用DBSS数据库安全审计功能数据库应开通数据库审计功能，数据库安全服务（DBSS）的数据库安全审计提供旁路模式审计功能，通过实时记录用户访问数据库行为，形成细粒度的审计报告，对风险行为和攻击行为进行实时告警，对数据库的内部违规和不正当操作进行定位追责。确保存储日志的OBS桶为非公开可读确保存储审计日志的桶，非公开可读，防止审计日志被非法访问。启用CTS 用户开通云审计服务（CTS）后，系统会自动创建一个追踪器，该追踪器会自动识别并关联当前租户所使用的所有云服务，并将当前租户的所有操作记录在该追踪器中。CTS服务具备对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。启用CTS的关键操作通知功能关键操作包含高危操作（重启虚拟机、变更安全配置等）、成本敏感操作（创建、删除高价资源等）、业务敏感操作（网络配置变更等）。下面列出部分云服务的关键操作项： IAM ：createUser、deleteUser、createAgency、DeleteAgency 等 ECS：rebootServer、updateSecurityGroup、removeSecurityGroup 等 VPC：modifySecurityGroup 等 CTS：updateTracker、deleteTracker 等 OBS：setBucketAcl、setBucketPolicy 等启用CTS的关键操作通知功能后，CTS会对这些关键操作通过消息通知服务（ SMN ）实时向相关订阅者发送通知，该功能由CTS触发，SMN完成通知发送。 CTS中需要开启关键操作通知，配置操作类型建议设置为自定义（包括删除、创建、登录）。在录入某些关键操作时，CTS可以通过SMN实时向订阅者发送通知。该功能由CTS触发，SMN发送通知。如Root Login，即企业管理员有登录事件时发送通知；或CTS更改意味着当CTS跟踪器发生更改时发送通知。启用OBS桶日志功能出于分析或审计等目的，用户可以开启 OBS 桶日志记录功能。通过访问日志记录，桶的拥有者可以深入分析访问该桶的用户请求性质、类型或趋势。当用户开启一个桶的日志记录功能后，OBS会自动对这个桶的访问请求记录日志，并生成日志文件写入用户指定的桶中。开启日志文件加密存储将审计日志转储到OBS，可以配置加密存储，防止文件被非法访问。启用WAF全量日志功能启用WAF全量日志功能后，可以将攻击日志、访问日志记录到LTS中。通过LTS记录的WAF日志数据，快速高效地进行实时决策分析、设备运维管理以及业务趋势分析。开启全量日志功能是将WAF日志记录到LTS，不影响WAF性能。启用LTS日志转储主机和云服务的日志数据上报至云日志服务（LTS）后，在默认存储事件过期后会被自动删除。因此，对于需要长期存储的日志数据，应在LTS中配置日志转储。LTS支持将日志转储至以下云服务： OBS：提供日志存储功能，长期保存日志。数据接入服务（DIS）：提供日志长期存储能力和丰富的大数据分析能力。启用VPC流量日志功能 VPC流日志功能可以记录虚拟私有云中的流量信息，帮助用户优化安全组和防火墙控制规则、监控网络流量、进行网络攻击分析等。当用户想要了解虚拟私有云网卡的流量详情时，用户可以通过LTS实时查看虚拟私有云的网卡日志数据。启用LTS主机全量日志功能当用户选择了主机接入方式时，LTS可以将主机待采集日志的路径配置到日志流中，ICAgent将按照日志采集规则采集日志，并将多条日志进行打包，以日志流为单位发往LTS，用户可以在LTS控制台实时查看日志。确保LTS存储时长满足需求主机和云服务的日志数据上报至云日志服务（LTS）后，在默认存储事件过期后会被自动删除。因此，需要用户根据业务需求配置存储时长。启用ELB访问日志记录功能 ELB在外部流量分发时，会记录HTTP(S)详细的访问日志记录，如URI请求、客户端 IP和端口、状态码。ELB日志可用于审计，也可用于通过时间和日志中的关键词信息搜索日志，同时，也可以通过各种SQL聚合函数来分析某段时间内的外部请求统计数据，以掌握真实用户的网站使用频率等。启用FuctionGraph函数日志功能出于分析或审计等目的，用户可以开启FunctionGraph日志功能。通过访问日志记录，函数拥的拥有者可以分析函数执行过程，快速定位问题。启用CFW日志管理能力将攻击事件日志、访问控制日志、流量日志记录到云日志服务（Log Tank Service，简称LTS）中，通过LTS记录的CFW日志数据，快速高效地进行实时决策分析、设备运维管理以及业务趋势分析。开启日志文件完整性校验将审计日志转储到OBS，可以同步开启文件校验，保障审计文件的完整性，防止文件被篡改。

安全云脑 SECMASTER 经验包
安全云脑 SECMASTER-内置检查项:华为云安全配置基线—数据库

华为云安全配置基线—数据库表37 数据库风险项检查项检查子项目检查项目 RDS for MySQL 配置合理的安全组规则安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同安全保护需求，保障数据库的安全性和稳定性。避免绑定EIP直接通过互联网访问避免RDS for MySQL部署在互联网或者DMZ里，应该将RDS for MySQL部署在公司内部网络，使用路由器或者防火墙技术把RDS for MySQL保护起来，避免直接绑定EIP方式从互联网访问RDS for MySQL。通过这种方式防止未授权的访问及DDoS攻击等。开启加密通信如果未启用TLS加密连接，那么在MySQL客户端和服务器之间以明文形式传输数据，容易受到窃听、篡改和“中间人”攻击。如果您是通过像Internet这样的非安全网络连接到MySQL服务器，那么启用TLS加密连接就显得非常重要。禁止使用默认端口 MySQL的默认端口是3306，使用默认端口容易被监听，存在安全隐患，推荐使用非默认端口。开启透明数据加密功能对数据文件执行实时 I/O 加密和解密，数据在写入磁盘之前进行加密，从磁盘读入内存时进行解密，能有效保护数据库及数据文件的安全。数据库版本更新到最新版本 MySQL社区有新发CVE漏洞时，会及时分析漏洞的影响，依据漏洞实际风险的影响大小决定补丁发布计划。建议及时升级修复，避免漏洞影响数据的安全。开启数据库审计日志审计功能可以记录用户对数据库的所有相关操作。通过查看审计日志，您可以对数据库进行安全审计、故障根因分析等操作，提高系统运维效率。 RDS for PostgreSQL 数据库开启备份功能设置合理的备份策略定期对数据库进行备份，当数据库故障或数据损坏时，可以通过备份文件恢复数据库，从而保证数据可靠性。开启用户登录时日志记录功能为了保证数据库的安全性和可追溯性，登录者所有的操作都会记录，以达到安全审计的目的。log_connections可以记录每次尝试连接到服务器的连接认证日志，log_disconnections记录用户注销时的日志，当受到攻击或者内部员工误操作而造成重要的数据丢失时，能够及时定位登录的IP地址。禁止使用默认端口 PostgreSQL的默认端口是5432，使用默认端口容易被监听，存在安全隐患，推荐使用非默认端口。配置合理的安全组规则安全组是一个逻辑上的分组，为同一个虚拟私有云内具有相同安全保护需求，保障数据库的安全性和稳定性。配置客户端认证超时时间 authentication_timeout控制完成客户端认证的时间上限，单位是秒。该参数可以防止客户端长时间占用连接通道，默认是60s。限制连接数据库的IP地址如果对连接数据库的IP地址不设置限制，全网都可访问，直接会增大攻击面。开启数据库审计日志通过将PostgreSQL审计扩展（pgAudit）与RDS for PostgreSQL数据库实例一起使用，可以记录用户对数据库的所有相关操作，通过查看审计日志，您可以对数据库进行安全审计、故障根因分析等操作，提高系统运维效率。数据库版本更新到最新版本 PostgreSQL社区当前 9.5/9.6/10 版本已经EOL，社区已不再维护，云上 9.5/9.6 版本已经发布EOS公告。使用较老的版本可能存在漏洞，运行最新版本的软件可以避免受到某些攻击。 GaussDB 数据库数据库连接的最大并发连接数配置如果GaussDB连接数过高，会消耗服务器大量资源，导致操作响应变慢，同时要根据操作系统环境来设置最大连接数，如果高于操作系统接收的最大线程数，设置无效。通过设置最大连接数，可以避免出现DDoS攻击，同时可以用最合理的方式利用系统的资源，达到最佳的OPS响应能力。权限管理防止PUBLIC拥有CREATE权限，导致数据库任何账户都可以在PUBLIC模式下创建表或者其他数据库对象，需要对PUBLIC的权限进行限制开启数据库审计日志审计功能可以记录用户对数据库的所有相关操作。通过查看审计日志，您可以对数据库进行安全审计、故障根因分析等操作，提高系统运维效率。安全认证配置为了保证用户体验，同时为了防止账户被人通过暴力破解，GaussDB设置了账户登录重试次数及失败后自动解锁时间的保护措施。用户密码的安全策略用户密码存储在系统表pg_authid中，为防止用户密码泄露，GaussDB对用户密码进行加密存储，所采用的加密算法由配置参数password_encryption_type决定； GaussDB数据库用户的密码都有密码有效期，可以通过参数password_notify_time提醒客户修改密码，如果需要修改密码有效期，可以通过修改password_effect_time来更改。 WAL归档配置 WAL（Write Ahead Log）即预写式日志，也称为Xlog。开启备份功能设置合理的备份策略当数据库或表被恶意或误删除，虽然GaussDB支持高可用，但备机数据库会被同步删除且无法还原。因此，数据被删除后只能依赖于实例的备份保障数据安全。 DDS 文档数据库开启加密通信如果未启用TLS加密连接，那么在MongoDB客户端和服务器之间以明文形式传输数据，容易受到窃听、篡改和“中间人”攻击。如果您是通过像Internet这样的非安全网络连接到MongoDB服务器，那么启用TLS加密连接就显得非常重要。开启备份功能设置合理的备份策略 DDS实例支持自动备份和手动备份，您可以定期对数据库进行备份，当数据库故障或数据损坏时，可以通过备份文件恢复数据库，从而保证数据可靠性。禁止使用默认端口 MongoDB的默认端口是27017，使用默认端口容易被监听，存在安全隐患，推荐使用非默认端口。补丁升级 DDS支持补丁升级，版本升级涉及新功能添加、问题修复，同时可以提升安全能力、性能水平。关闭脚本运行功能启用javascriptEnabled选项security.javascriptEnabled，可以在mongod服务端运行javascript脚本，存在安全风险,，禁用javascriptEnabled选项，mapreduce、group命令等将无法使用。如果您的应用中没有mapreduce等操作的需求，为了安全起见，建议关闭javascriptEnabled选项。设置秒级监控和告警规则 DDS默认支持对实例进行监控，当监控指标的值超出设置的阈值时就会触发告警，系统会通过SMN自动发送报警通知给云账号联系人，帮助您及时了解DDS实例的运行状况。限制最大连接数如果MongoDB的连接数过高，首先会消耗服务器过多的资源，导致ops（query、insert、update、delete）等反应变慢，同时要根据操作系统环境来设置最大连接数，如果高于操作系统接收的最大线程数，设置无效。通过设置最大连接数，可以避免出现DOS攻击，同时可以用最合理的方式利用系统的资源，达到最佳的OPS响应能力。开启数据库审计日志审计功能可以记录用户对数据库的所有相关操作。通过查看审计日志，您可以对数据库进行安全审计、故障根因分析等操作，提高系统运维效率。开启磁盘加密通过启用磁盘加密，可以提高数据安全性，但对数据库读写性能有少量影响。

安全云脑 SECMASTER 经验包
安全云脑 SECMASTER-内置检查项:华为云安全配置基线—存储

华为云安全配置基线—存储表38 存储风险项检查项检查子项目检查项目对象存储服务 OBS 使用OBS的服务端加密存储对象启用OBS桶的服务端加密后，用户在上传对象时，数据会在服务端加密成密文后存储。合规场景开启WORM功能 OBS提供了合规模式的WORM（Write Once Read Many）功能，即一次写入多次读取，可以确保指定时间内不能覆盖或删除指定对象版本的数据。在需要在线预览OBS对象的场景使用自定义域名基于安全合规要求，华为云对象存储服务 OBS禁止通过OBS的默认域名在线预览桶内对象，即使用上述域名从浏览器访问桶内对象（如视频、图片、网页等）时，不会显示对象内容，而是以附件形式下载；在用户需要在线预览OBS对象的场景，建议使用自定义域名实现。禁用匿名访问 OBS桶对于匿名用户禁用对外公开访问的权限，可以防止桶中数据被开放给所有人，保护私有数据不泄露（静态网站等需要对外开放的场景例外）。使用OBS的数据临时分享功能来快速分享指定数据当需要将存放在OBS中对象（文件或文件夹）分享给其他用户时，可以使用OBS的数据临时分享功能，分享的URL可指定有效期，过期自动失效。使用双端固定对OBS的资源进行权限控制设置 VPC终端节点策略可以限制VPC中的服务器（ECS/CCE/BMS）访问OBS中的特定资源，设置桶策略可以限定OBS中的桶被特定VPC中的服务器访问，实现访问控制的双向限定。启用多版本控制功能利用OBS多版本控制功能，可以在一个桶中保留一个对象的多个版本，提升数据异常场景快速恢复能力。启用防盗链功能建议启动OBS提供的防盗链能力，可以防止用户在OBS的数据被其他人盗链。使用桶策略限制对OBS桶的访问必须使用HTTPS协议通过桶策略中的SecureTransport条件限制必须使用HTTPS协议对该桶进行操作，可确保数据上传下载的传输安全。避免在私有桶创建公开对象避免在OBS桶中对匿名用户提供对象的公共读权限，可以防止对象被对外开放给所有人员，防止对象数据泄漏。启用跨区域复制功能启用跨区域复制功能，可为用户提供的跨区域数据容灾能力。弹性文件服务 SFS 确保SFS Turbo文件系统是加密的 SFS Turbo文件系统加密保护您的静态数据。SFS Turbo文件系统加密特性在数据从您的应用写入到SFS Turbo文件系统时自动加密，从SFS Turbo文件系统读取数据时自动解密。云硬盘 EVS 确保云硬盘是加密的云硬盘加密保护您的静态数据。云硬盘加密特性在数据从云服务器写入到云硬盘时自动加密，从云硬盘读取数据时自动解密。云备份 CBR 开启跨区域复制备份功能开启跨区域复制功能，更安全可靠。开启强制备份开启强制备份，最大限度保障用户数据的安全性和正确性，确保业务安全。备份数据删除建议开启二次确认为防止备份数据误删，建议开启二次确认机制。承载备份数据的云硬盘选择加密盘 CBR备份磁盘可选为加密磁盘，成为加密备份。此特性无法手动加密和取消加密备份。

安全云脑 SECMASTER 经验包
安全云脑 SECMASTER-内置检查项:等保2.0三级要求—安全管理中心

等保2.0三级要求—安全管理中心表27 安全管理中心风险项检查项目检查子项目检查项目集中管控应能对物理资源和虚拟资源按照策略做统一管理调度与分配。应保证云计算平台管理流量与云服务客户业务流量分离。应根据云服务提供商和云服务客户的职责划分，收集各自控制部分的审计数据并实现各自的集中审计。应根据云服务提供商和云服务客户的职责划分，实现各自控制部分，包括虚拟化网络、虚拟机、虚拟化安全设备等的运行状况的集中监测。

安全云脑 SECMASTER 经验包
安全云脑 SECMASTER-内置检查项:等保2.0三级要求—安全区域边界

等保2.0三级要求—安全区域边界表25 安全区域边界风险项检查项目检查子项目检查项目访问控制应在虚拟化网络边界部署访问控制机制，并设置访问控制规则。应在不同等级的网络区域边界部署访问控制机制，设备访问控制规则入侵防范应能检测到云服务客户发起的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等。应能检测到对虚拟网络节点的网络攻击行为，并能记录攻击类型、攻击时间、攻击流量等。应能检测到虚拟机与宿主机、虚拟机与虚拟机之间的异常流量。应在检测到网络攻击行为、异常流量情况时进行告警。安全审计应对云服务提供商和云服务客户在远程管理时执行的特权命令进行审计，至少包括虚拟机删除、虚拟机重启。应保证云服务提供商对云服务客户系统和数据的操作可被云服务客户审计。

安全云脑 SECMASTER 经验包

安全云脑 SECMASTER

意见反馈

0/200

提交取消

提交成功！非常感谢您的反馈，我们会继续努力做到更好反馈提交失败！请稍后重试！

云服务器内容精选

安全云脑 SECMASTER

7*24

备案

专业服务

退订

建议反馈

售前咨询热线