阿里云云防火墙

阿里云云防火墙是一款云原生的云上边界网络安全防护产品，可提供统一的互联网边界、NAT边界、VPC边界、主机边界流量管控与安全防护，包括结合情报的实时入侵防护、全流量可视化分析、智能化访问控制、日志溯源分析等能力

阿里云云防火墙

• 产品简介
  • 阿里云云防火墙是一款云平台SaaS（Software as a Service）化的防火墙，可针对您云上网络资产的互联网边界、VPC边界及主机边界实现三位一体的统一安全隔离管控，是您业务上云的第一道网络防线。
  • 云防火墙定位全景图
  • 功能概述
    • 云防火墙主要包含互联网边界防火墙、VPC边界防火墙、主机边界防火墙，为您提供互联网、虚拟网络、主机三种边界防护。
      • 互联网边界防火墙
        • 互联网边界防火墙作用于互联网边界，对所有公网IP统一管控。
      • 主机边界防火墙
        • 主机防火墙对应安全组，对ECS间通信进行管控。
      • VPC边界防火墙
        • VPC边界防火墙作用于VPC边界，对云企业网和高速通道流量进行管控。
  • 场景说明
    • 互联网边界、主机边界防火墙和VPC边界防火墙配合使用，可以精细化地管控数据访问行为，同时也组成了互联网边界-虚拟网络边界-主机边界三层纵深防御体系。
    • 满足精细化的访问控制需求
      • 云防火墙提供集中式的访问控制，也就是出方向、入方向访问控制策略，提供了应用、域名等精细化访问控制策略。
      • 云防火墙可以统一管控所有VPC、所有区域，并提供观察模式、地址簿等优化策略配置功能，配置相对简单。
    • 满足微隔离的访问控制需求
      • 云防火墙提供分布式的访问控制，目前底层利用的是安全组能力，同时提供所有内部流量的可视能力，帮助您优化内对内策略。
      • 同时，为您提供策略的观察模式、拦截访问分析、智能策略等能力。
  • 防护范围
    • 云防火墙可以防护以下云资产或流量：
      • 互联网边界防火墙（南北向）：ECS公网IP、ECS EIP、CLB公网IP、CLB EIP、ALB EIP、NLB EIP、HAVIP、EIP（含L2 EIP）、ENI EIP、NAT EIP、SLB IPv6、ECS IPv6、堡垒机IP资产。
      • VPC边界防火墙（东西向）：
        • 企业版转发路由器的VPC边界防火墙
          • 同地域多个专有网络VPC（Virtual Private Cloud）互访的流量。
          • 通过企业版转发路由器TR（Transit Router）实现跨地域多个VPC互访的流量。
          • VPC和边界路由器VBR（Virtual Border Router）互访的流量（即VPC和本地数据中心IDC互访的流量）。
          • VPC和云连接网CCN（Cloud Connect Network）互访的流量。
          • 多个VBR互访的流量。
          • CCN和VBR互访的流量。
        • 基础版转发路由器的VPC边界防火墙
          • 同地域多个专有网络VPC（Virtual Private Cloud）互访的流量。
          • 通过基础版转发路由器TR（Transit Router）实现跨地域多个VPC互访的流量。
          • VPC和边界路由器VBR（Virtual Border Router）互访的流量（即VPC和本地数据中心IDC互访的流量）。
          • VPC和云连接网CCN（Cloud Connect Network）互访的流量。
        • 高速通道VPC边界防火墙
          • 高速通道连接专有网络VPC（Virtual Private Cloud）模式下，同账号同地域多个VPC互访的流量。
          • VPC对等连接模式下，同地域多个VPC互访的流量。
      • 主机边界防火墙：ECS实例之间的流量。
• 功能特性
  • 功能列表
    • 功能名称 功能概述 免费版 按量版 高级版 企业版 旗舰版 相关文档 防火墙开关 防护互联网和公网IP（含IPv4和IP6）资产间的通信流量。 说明 按量版仅支持IPv4。      互联网边界防火墙 防护专有网络VPC（Virtual Private Cloud）之间、VPC和本地数据中心之间的流量。      VPC边界防火墙 防护私网IP资产访问互联网的流量。      NAT边界防火墙 防护VPC访问互联网指定域名的流量。      DNS防火墙 数据概览 展示云防火墙防护的云资产的流量拓扑图。      流量拓扑图 提供云防火墙的防御能力总览，展示最近7天访问流量统计数据和已检测出的安全风险统计数据。 说明 按量版不支持展示流量统计数据。      数据总览 访问控制 支持公网资产的入方向和出方向流量的访问控制（南北向），有效防止外部恶意攻击和黑客入侵，并且严格控制主动外联的出流量。      互联网边界防火墙 支持对私网IP访问公网的流量进行访问控制，有效拦截内部网络到公网的未授权访问。      NAT边界 支持两个VPC间、VPC和本地数据中心间的流量的访问控制，阻断未授权的流量访问，放行可信流量。      VPC边界 支持ECS实例间的入流量和出流量的访问控制（东西向），限制ECS实例间的未授权访问。      主机边界防火墙 支持ECS服务器安全组中的高危风险规则检测，并提供修复建议，帮助您更安全、更高效地使用安全组功能。      安全组检查 流量分析 实时监控云资产主动访问互联网的行为。      主动外联活动 检测云防火墙防护的云资产暴露在公网的IP地址、端口、应用数据，提供可视化分析报表。      公网暴露 实时监控互通的VPC之间的流量情况，帮助您实时获取VPC网络流量数据，及时发现和排查异常流量。      VPC互访 攻击防护 内置威胁检测引擎，支持配置攻击防护规则，实现更精准地识别和阻断入侵风险。 实时展示入侵防御、漏洞防护、失陷感知的防御数据，支持查看防御详情，并提供威胁检测引擎实时检测入侵活动的处置方案。 威胁引擎运行原理 说明 按量版不支持威胁情报功能、查看规则明细和自定义规则。 仅云防火墙企业版和旗舰版支持自定义基础防御规则和虚拟补丁规则。      防护配置 入侵防御 漏洞防护 失陷感知 日志分析 提供7天日志审计功能，便于您进行事件回溯、故障排查等。 支持审计的日志类型      日志审计 实时地自动采集、存储和分析出、入方向的流量日志，存储时长可自定义7~365天；支持基于特定指标，定制实时的监测与告警，确保在关键业务发生异常时能够及时响应。      日志分析 业务可视 支持通过自定义分组建立云资产的应用和应用组、业务区之间的关系。 支持业务可视，帮助您全面了解云资产的信息和访问关系。      自定义分组 安全组可视 应用分组可视 多账号管理 支持多账号统一管理，帮助您实现多个账号下的资源共享及流量安全访问。      多账号统一管理 资产异常告警 在资产出现流量异常、主机失陷、异常外联活动、漏洞风险、未开启保护、未开启入侵防护时，您可以及时通过短信或邮件收到通知。 说明 云防火墙免费版只支持周报通知项。 云防火墙按量版只支持失陷主机通知、漏洞实时防护通知、资产保护通知、入侵防护通知、新增公网资产和智能策略推荐通知项。      告警通知
  • 产品优势
    • 全托管方式
      • 云防火墙服务采用SDN技术，提供SaaS化的防火墙方案。服务由阿里云托管提供，无需您部署任何设备（传统防火墙的镜像安装、路由设置等复杂基础系统和网络配置操作），也无需您关注容灾、扩容或接入等问题。
    • 简单易用
      • 您购买了云防火墙、在控制台完成简单的设置后，可立即使用、秒级接入、即刻防御，同时有效降低网络安全管控运维成本。
    • 支持平滑扩展
      • 云防火墙采用了集群部署的模式，支持性能的平滑扩展，针对单个IP的防护流量可达2 Gbps；防护流量超过2 Gbps时云防火墙支持定制。
    • 系统稳定可靠
      • 默认高可用，采用双可用区部署，任意一台服务器或者任意一个可用区故障时都不会导致云防火墙故障。
    • 云上深度集成
      • 云防火墙为您的资产提供了完整的南北向和东西向访问控制能力，帮助您的业务建立完整的访问控制和安全隔离能力。
      • 原生整合阿里云各类网络服务（如VPC、CEN、EIP、SLB等），通过在网络层面控制对常用云资产的访问，联动终端安全能力，解决对云资产的异常访问问题，实现响应闭环。
    • 实时入侵防御
      • 内置威胁检测引擎，可同步更新全网威胁情报，对超过500万的活跃恶意IP与域名条目进行监控，实现对来自互联网的威胁进行实时检测和阻断。同时，提供基于网络杀伤链，在重要的网络攻击阶段进行针对性的网络防御。
    • 业务关系可视
      • 云防火墙通过拓扑图直观地展现资产以及资产的访问关系。无需配置，开通服务后就可了解业务的分区、分组、资产、资产间的访问关系，以及用户流量的聚类分析。支持流量可视分析，最大程度保证策略的正确性。
    • 满足等保合规2.0要求
      • 满足《GB/T22239-2019 信息安全技术网络安全等级保护基本要求》（简称“等保合规2.0”）的边界防护和访问控制等要求。
• 应用场景
  • 互联网边界访问控制
    • 对出、入互联网的访问流量进行管控，拦截来自互联网的攻击和威胁，例如黑客入侵、挖矿和恶意流量等。
  • 内网访问控制
    • 对内网中ECS服务器之间的访问流量进行管控，对不同的业务进行安全隔离，避免因某个ECS存在安全风险从而对整个云上业务产生安全威胁。
  • VPC边界访问控制
    • 对VPC间的访问流量进行管控，实现VPC的分区防御。
  • 入侵防御
    • 对云资产主动外联的行为、互联网访问流量和内网ECS互访流量进行检测和分析，帮助您实时了解网络流量动态，以判断哪些云资产已经处于风险状态，并对这些异常行为进行实时阻断，防御潜在的风险。
  • 流量可视化
    • 让您全面了解资产的信息和访问关系，从而及时发现异常流量。
  • 等保合规
    • 存储云资产的访问日志，助力网站符合等保合规要求。