检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
建立复盘机制 建立安全事件复盘机制可以帮助团队从过去的安全事件中学习经验教训，并改进未来的安全措施。 风险等级 中 关键策略 确定复盘的目的：在进行复盘之前，明确目的是非常重要的。确定您希望从这次安全事件中学到什么，以及如何改进未来的安全措施。 收集事实和数据：收集关于安全事件的所有相
出流量，并对所有网络流量进行检查，阻止与已制定安全标准不相符的流量，以避免系统组件受到来自不可信网络的非授权访问。 使用应用负载均衡时，七层负载均衡更换为安全的证书。 启用VPC流量日志。VPC流日志功能可以记录虚拟私有云中的流量信息，帮助用户优化安全组和防火墙控制规则、监控网络
助于监控和安全审计。 相关云服务和工具 解决方案工作台 InnoStageWorkbench：使用解决方案工作台辅助进行云上架构的可视化设计。 安全云脑 SecMaster：安全云脑支持对云上资产全面自动盘点，也可灵活纳管云外各种资产，点清所有资产，并呈现资产实时安全状态。 配置审计
实施用于托管资源的服务以便在责任共担模式中减少安全维护任务。例如使用华为云的数据库服务而不是自建关系型数据库的实例。 使用Serverless架构的云服务，将计算资源的安全交给华为云处理，减免了用户自行运维服务器带来的工作量和人为错误，减少了安全漏洞的风险。这样，用户能够将更多精力集中在业务逻辑和应用的安全性上。 相关云服务和工具
SEC03-04 安全共享资源 大企业的不同组织、部门、团队之间需要安全共享资源。 风险等级 中 关键策略 大企业往往涉及多个组织单元、多个账号，需要对多账号之间进行共享资源。安全共享资源需遵循以下实践： 使用资源标签。通过标签对资源进行分类和标记，以便于管理和应用策略。 仅与可
关键策略 使用加密协议：确保在数据传输过程中使用安全的加密协议，以加密数据并保护其在传输过程中不被窃取或篡改。使用最新的TLS版本（如TLS 1.2或更高版本）以确保使用最强的加密标准。 安全传输通道：确保数据传输的通道是安全的，避免使用不安全的网络或公共网络来传输敏感数据。 确保敏感
SEC02-02 安全的登录机制 将安全的登录机制用于账号、IAM用户以及对接第三方身份提供商。 风险等级 高 关键策略 除了账号，确保IAM管理员（有管理员权限的IAM用户）也开启MFA机制登录，避免登录凭证泄露带来的风险。 配置IAM的登录验证策略，如会话超时策略、账号锁定策略、账号停用策略、最近登录提示等。
SEC04-01 对网络划分区域 网络的分区是将网络划分为多个部分，以隔离不同敏感性要求的网络流量和资源，从而增加网络的安全性。 风险等级 高 关键策略 通过网络分区，可以实现以下目的： 隔离敏感数据：将敏感数据和应用程序隔离在独立的网络分区中，以减少未经授权访问的风险。 可扩展
评估威胁概率和影响：评估每种威胁的概率和可能造成的影响，包括数据泄露、服务中断等。 制定安全对策：根据识别的威胁，制定相应的安全对策和控制措施，包括访问控制、加密、监控等。 持续改进：定期检视和更新威胁模型，以反映新的威胁和安全风险，确保云上系统的安全性得到持续改进。 以下是OWASP总结的Web应用系统TOP10的威胁及处置措施：
理，从而提高系统的安全性和可维护性。 风险等级 高 关键策略 一个企业特别是大型企业往往有多个不同类型（如生产环境、开发环境、测试环境）或不同组织单元（OU）下的工作负载，多个组织单元之间或多个工作负载之间要进行隔离。 分隔工作负载在云环境中是非常重要的。从安全治理角度，主要基于以下几个理由：
控机制。 使用数据库安全服务DBSS对数据库行为进行审计。数据库安全审计提供旁路模式审计功能，通过实时记录用户访问数据库行为，形成细粒度的审计报告，对风险行为和攻击行为进行实时告警，对数据库的内部违规和不正当操作进行定位追责，保障数据资产安全。 启用数据库安全审计告警。通过设置告
SEC02-03 安全管理及使用凭证 在进行身份验证时，首要选择使用临时凭证而非长期或永久性凭证，以减少或消除因凭证意外泄露、共享或被盗而带来的风险。 风险等级 高 关键策略 长期凭证如用户的登录密码、永久AK/SK，短期凭证如临时AK/SK、通过委托获取的权限等。禁止将长期凭证
数据安全与隐私保护 SEC07 通用数据安全 SEC08 数据隐私保护 父主题： 安全性支柱
制定风险管理计划：了解数据被意外披露、更改或删除可能会带来的业务影响，有助于制定相应的风险管理计划。 相关云服务和工具 数据库安全服务 DBSS 数据加密服务 DEW 父主题： SEC07 通用数据安全
SEC03-01 定义权限访问要求 SEC03-02 按需分配合适的权限 SEC03-03 定期审视权限 SEC03-04 安全共享资源 父主题： 基础设施安全
RDS、对象存储服务 OBS、弹性文件服务 SFS等云服务配置默认加密，以自动加密存储的数据。启用RDS、DWS等数据库的加密，可降低拖库、数据泄露带来的安全风险。 针对敏感数据，采取加密、掩码、匿名化等方式进行保护。这样，即使敏感数据被非法窃取，也可降低这类数据泄露的风险。 应该监控加密和解密
SEC02 身份认证 SEC02-01 对账号进行保护 SEC02-02 安全的登录机制 SEC02-03 安全管理及使用凭证 SEC02-04 一体化身份管理 父主题： 基础设施安全
相关云服务和工具 数据安全中心 DSC：DSC可根据敏感数据发现策略来精准识别数据库中的敏感数据，并支持从海量数据中自动发现并分析敏感数据使用情况，基于数据识别引擎，对结构化数据和非结构化数据进行扫描、分类、分级，解决数据“盲点”。 父主题： SEC07 通用数据安全
数据使用、留存和处置合规性 SEC08-06 向第三方披露个人数据合规性 SEC08-07 数据主体有权访问其个人隐私数据 父主题： 数据安全与隐私保护
可能导致严重的安全问题和数据泄露。因此，身份认证的安全性首先要考虑对此账号进行保护。 风险等级 高 关键策略 强密码：使用强密码来保护账号，包括数字、字母、特殊字符的组合，并确保密码足够长且复杂。 多因素认证（MFA）：启用多因素认证为保护账号提供了额外的安全层次。除了密码之外
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
