Sicherheit für VPC-Instanz
Sie können die Sicherheit von IBM Cloud® Virtual Private Cloud und Workloads gewährleisten, indem Sie den Netzdatenverkehr mithilfe von Sicherheitsgruppen und/oder Netz-ACLs steuern.
Sicherheitsübersicht
Sicherheitsgruppen und ACLs sind Verfahren zum Steuern des Datenverkehrs zwischen Teilnetzen und Instanzen in Ihrer IBM Cloud® Virtual Private Cloud mithilfe von Regeln, die Sie angeben können. Sicherheitsgruppen und ACLs erhöhen die Sicherheit Ihrer Teilnetze und Instanzen:
- Der ein- und ausgehende Datenverkehr für ein Teilnetz kann durch Zugriffssteuerungslisten (Access Control Lists, ACLs) gesteuert werden.
- Durch Sicherheitsgruppen kann der Datenverkehr auf der Ebene der Virtual Server-Instanz gesteuert werden.
- Ein öffentliches Gateway für den Internetzugang des Teilnetzes, der durch ACLs geschützt wird, kann eingerichtet werden.
- Eine variable IP-Adresse für den Zugang von Virtual Server-Instanzen zum Internet, geschützt durch Sicherheitsgruppen (SGs).
Wenn Sie eine VPC mit IBM Cloud Internet Services(CIS) konfigurieren, können Sie DDoS-Angriffe verhindern, indem Sie den Datenverkehr nur über CIS (Zulassungsliste) in Ihrer VPC zulassen. Legen Sie für Ihre Network ACL und Ihre Sicherheitsgruppen die Zulassungsliste für CIS-Datenverkehr fest.
Definitionen
In den folgenden Abschnitten werden grundlegende Funktionen von ACLs und Sicherheitsgruppen beschrieben und die Verfahren, mit denen die durchgängige Verschlüsselung in VPC unterstützt wird.
Zugriffssteuerungsliste
Eine Zugriffssteuerungsliste (Access Control List, ACL) kann den ein- und ausgehenden Datenverkehr für ein Teilnetz verwalten (d. h. zulassen oder sperren). Eine ACL ist statusunabhängig, d. h. Regeln für ein- und ausgehende Daten müssen separat und explizit angegeben werden. Jede ACL besteht aus Regeln, die auf Quellen-IP, Quellenport, Ziel-IP, Zielport und Protokoll basieren.
Jede VPC verfügt über eine Standard-ACL, die den gesamten ein- und ausgehenden Datenverkehr zulässt. Sie können die Regeln der Standard-ACL bearbeiten oder eine angepasste ACL erstellen und Ihren Teilnetzen zuordnen. Einem Teilnetz kann jeweils nur eine ACL zugeordnet sein, aber eine ACL kann mehreren Teilnetzen zugeordnet werden. Weitere Informationen zur Verwendung von ACLs finden Sie unter Netz-ACLs einrichten.
Sicherheitsgruppen
Eine Sicherheitsgruppe bildet eine virtuelle Firewall, die den Datenverkehr für mindestens eine Virtual Server-Instanz steuert. Eine Sicherheitsgruppe umfasst eine Gruppe von Regeln, die angeben, ob Datenverkehr für eine zugeordnete Instanz zugelassen oder verweigert werden soll.Sie können eine Instanz einzelnen oder mehreren Sicherheitsgruppen zuordnen und die Sicherheitsgruppenregeln bearbeiten. Weitere Informationen hierzu finden Sie unter Sicherheitsgruppen verwenden.
Vergleich zwischen Sicherheitsgruppen und Zugriffssteuerungslisten
Tabelle 1 fasst einige grundlegende Unterschiede zwischen Sicherheitsgruppen und ACLs zusammen
| Sicherheitsgruppen | Zugriffssteuerungslisten | |
|---|---|---|
| Steuerungsebene | Neue Instanz des virtuellen Servers | Teilnetz |
| Status | Statusunabhängig - Wenn eine eingehende Verbindung zulässig ist, sind Antworten möglich | Statusunabhängig - Sowohl eingehende als auch ausgehende Verbindungen müssen explizit zugelassen werden |
| Unterstützte Regeln | Nur Zulassungsregeln werden verwendet | Zulassungs- und Blockierungsregeln werden verwendet |
| Wie werden Regeln angewendet? | Alle Regeln werden berücksichtigt | Regeln werden nacheinander verarbeitet |
| Beziehung zu der zugeordneten Ressource | Einer Instanz können mehrere Sicherheitsgruppen zugeordnet werden | Mehreren Teilnetzen kann dieselbe ACL zugeordnet werden |
End-to-End-Verschlüsselung
Obwohl IBM Cloud VPC selbst keine durchgängige Verschlüsselung (End-to-End-Verschlüsselung) bereitstellt, ist ihre Verwendung zulässig. Wenn Sie beispielsweise über einen sicheren Endpunkt auf einer Virtual Server-Instanz (z. B. einen HTTPS-Server an Port 443) verfügen, dann können Sie dieser Instanz eine variable IP-Adresse zuordnen. Daraufhin verfügen Sie über eine Verbindung mit End-to-End-Verschlüsselung vom Client bis zum Server an Port 443. Durch keine der auf dem verwendeten Pfad vorhandenen Mechanismen kann eine Entschlüsselung erzwungen werden. Wenn Sie allerdings ein nicht sicheres Protokoll wie beispielsweise HTTP an Port 80 verwenden, werden Ihre Daten nicht durchgängig verschlüsselt.
Wenn für Ihre Anwendung eine durchgängige Verschlüsselung erforderlich ist, liegt es in Ihrer Verantwortung, sicherzustellen, dass Ihre Verbindung durchgängig verschlüsselt wird.