实例运维端口应限制IP访问来源

检查：是否存在运维端口所有IP开放的安全组

拦截：禁止运维端口任意IP访问的实例创建操作

在组织或账户层面通过RAM Policy策略，主动拦截安全组中端口任意IP访问的规则。

• 针对企业用户：

  1. 使用阿里云主账号登录资源目录控制台，单击左侧菜单栏的管控策略，创建自定义权限策略，粘贴以下JSON内容。

     限制端口任意IP访问的实例创建、安全组创建与修改操作。

     {
       "Version": "1",
       "Statement": [
         {
           "Effect": "Deny",
           "Action": [
             "ecs:AuthorizeSecurityGroup",
             "ecs:ConfigureSecurityGroupPermissions",
             "ecs:ModifySecurityGroupRule"
           ],
           "Resource": "*",
           "Condition": {
             "StringLike": {
               "ecs:SecurityGroupIpProtocols": [
                 "TCP"
               ]
             },
             "CIDRInRange": {
               "ecs:SecurityGroupSourceCidrIps": [
                 "0.0.0.0/0"
               ]
             }
           }
         },
         {
           "Effect": "Deny",
           "Action": [
             "ecs:CreateInstance",
             "ecs:RunInstances"
           ],
           "Resource": "*",
           "Condition": {
             "Bool": {
               "ecs:NotSpecifySecureGroupId": [
                 "true"
               ]
             }
           }
         }
       ]
     }

  2. 在资源目录中选择合适的节点绑定策略，策略将对目录下的账号产生拦截效果。

• 针对非企业用户：

  1. 使用阿里云主账号登录RAM控制台，单击左侧菜单栏的权限策略，创建一条与上述内容相同的自定义策略。

  2. 通过管理权限策略授权将该条权限策略授权给RAM用户、RAM用户组或RAM角色。

修复：修改安全组规则

修改现有安全组规则，将授权对象从 0.0.0.0/0 更改为具体的、可信的IP地址段。

1. 定位不安全的规则： 使用检查部分的方法找到存在风险的安全组和规则。

2. 修改规则： 

   1. 前往ECS控制台-安全组，找到目标安全组，单击操作列的管理规则，

   2. 找到对应的规则（例如，端口为22，授权对象为0.0.0.0/0的规则），单击编辑，将授权对象更新为可信来源IP，单击确定。