华为云安全配置全攻略
华为云安全配置需从责任共担模型出发，结合云服务类型（如IaaS、PaaS、SaaS）和业务场景，通过技术工具与合规策略构建纵深防御体系。以下是关键配置步骤与最佳实践：
一、基础架构安全配置
虚拟私有云（VPC）与子网规划
网络隔离：为不同业务（如Web、数据库、运维）划分独立子网，通过安全组实现子网间访问控制。
弹性公网IP（EIP）管理：避免直接绑定EIP至数据库等敏感服务，优先使用内网负载均衡（ELB）或NAT网关访问公网。
网络ACL：在子网层面配置细粒度规则（如仅允许特定端口入站），作为安全组的补充。
安全组策略
最小权限原则：仅开放业务必需端口（如Web服务开放80/443，数据库仅限内网IP访问）。
SD-WAN场景示例：
WAN接口：开放UDP 50100（DTLS）、TCP 443（HTTPS管理）等端口。
LAN接口：根据业务需求开放端口（如RDP 3389仅限运维IP访问）。
规则优先级：高优先级规则（如拒绝所有）需置于列表底部，避免被低优先级允许规则覆盖。
负载均衡安全
共享型ELB：确保后端服务器安全组放行100.125.0.0/16网段（ELB健康检查源IP）。
SSL证书配置：为HTTPS服务启用TLS 1.2及以上版本，禁用弱加密套件（如RC4、DES）。
二、数据安全配置
加密与密钥管理
存储加密：使用EVS磁盘加密保护静态数据，密钥由KMS（密钥管理服务）统一管理。
传输加密：通过SSL/TLS加密数据库（如DDS、RDS）和API网关通信，避免明文传输。
凭据管理：使用Secret Manager存储数据库密码、API密钥，避免硬编码在代码或配置文件中。
数据库安全
账号权限：遵循最小权限原则，为应用创建独立数据库账号，禁用root等高权限账号。
审计日志：开启DDS/RDS审计功能，记录所有SQL操作，用于安全溯源与合规检查。
连接限制：设置数据库最大连接数，防止资源耗尽攻击。
备份与恢复
自动备份：配置RDS/DDS自动备份策略，保留最近7天备份文件，支持跨区域容灾。
快速恢复：定期测试备份文件恢复流程，确保业务中断时数据可快速回滚。
三、身份与访问管理（IAM）
细粒度权限控制
用户组与策略：按职能划分用户组（如开发、运维、审计），绑定最小权限策略（如仅允许ECS启动/停止）。
临时凭证：通过STS（安全令牌服务）生成临时AK/SK，限制凭证有效期（如2小时）。
双因子认证（2FA）：为管理员账号启用2FA，防止账号被盗用。
操作审计
统一审计：开启enable_security_policy参数，记录所有IAM用户操作（如登录、资源修改）。
日志分析：通过LTS（日志服务）实时分析审计日志，设置异常操作告警（如凌晨批量删除资源）。
四、应用与容器安全
Web应用防护
WAF配置：部署WAF拦截SQL注入、XSS攻击，支持CC攻击防御（如每秒请求数阈值）。
反爬虫策略：通过User-Agent、IP频率限制阻止恶意爬虫访问。
容器安全
镜像扫描：使用CCE（容器引擎）内置镜像扫描功能，检测CVE漏洞与恶意软件。
Pod安全策略：限制容器特权模式（privileged: false），禁止挂载主机目录（hostPath:）。
API安全
网关限流：在APIG（API网关）中配置QPS阈值，防止API被滥用。
签名验证：要求客户端调用API时携带HMAC签名，防止未授权访问。
五、合规与运维安全
安全基线检查
等保2.0合规：使用华为云安全配置基线工具，自动检测未达标项（如未开启日志审计）。
漏洞修复：定期扫描ECS漏洞（如Log4j2漏洞），通过补丁管理服务自动修复。
运维安全
SSH登录加固：修改默认SSH端口（如22→2222），使用密钥认证替代密码，限制登录源IP。
运维通道隔离：通过VPN或跳板机访问内网资源，禁止直接通过公网SSH登录生产服务器。
DDoS防护
高防IP：为关键业务配置高防IP，支持清洗TB级流量攻击。
流量清洗：设置CC攻击防护规则（如每秒HTTP请求数阈值），自动封禁恶意IP。
六、安全最佳实践案例
数据复制服务（DRS）安全
网络隔离：使用VPN加密传输通道，禁止通过公网同步数据。
最小权限账号：为DRS创建独立数据库账号，仅授予SELECT/INSERT权限。
凭证轮换：定期更换数据库密码，避免长期使用同一凭证。
文档数据库服务（DDS）安全
禁用IPv6：DDS默认不支持IPv6，创建实例时选择IPv4子网。
关闭脚本功能：禁用security.javascriptEnabled，防止注入攻击。
磁盘加密：开启TDE（透明数据加密），保护磁盘文件不被窃取。
七、安全工具推荐
HSS（主机安全服务）：实时检测ECS恶意软件、异常登录行为。
CSP（云安全策略）：自动化配置安全组、网络ACL等策略，减少人为配置错误。
Security Center：统一管理云上资产安全状态，提供合规报告与修复建议。
