Elastic Compute Service：作業系統安全

使用金鑰組登入執行個體

金鑰組（由公有密鑰和私人密鑰組成）是一組安全憑證，可在串連ECS執行個體時用來證明您的身份，避免弱密碼可能造成的安全風險。阿里雲的金鑰組預設採用的是RSA 2048位的密碼編譯演算法產生了包括公開金鑰和私密金鑰，使用公開金鑰和私密金鑰認證的方式登入執行個體，是一種安全便捷的登入方式。相對於傳統的帳號密碼登入方式有如下優勢：

• 常規的使用者口令容易被爆破，金鑰組杜絕了暴力破解的風險。

• 金鑰組登入方式更加簡便， 一次配置，後續再也不需要輸入密碼。

更多資訊，請參見通過密碼或密鑰認證登入Linux執行個體、通過密鑰認證登入Linux執行個體。

使用會話管理免密登入執行個體

除了使用金鑰組登入ECS執行個體外，還可以使用會話管理免密登入執行個體。會話管理是由雲助手提供的功能，相比於金鑰組、VNC 等方式，可以更便捷地遠端連線ECS執行個體，且兼具安全性。使用會話管理端串連執行個體的優勢如下：

• 會話管理用戶端與雲助手服務端、雲助手服務端與ECS雲助手用戶端之間通訊時，會通過WSS協議建立WebSocket長串連，WSS使用SSL加密WebSocket長串連，能夠保障資料的安全。

• 會話管理採用RAM進行鑒權，無需管理密碼，避免密碼因儲存不善而導致泄露的安全風險。

• 會話管理使用雲助手用戶端與雲助手服務端之間通過WebSocket串連，因此不需要開啟ECS執行個體的入方向連接埠，進一步提高了ECS執行個體的安全性。

更多資訊，請參見通過會話管理串連執行個體。

避免敏感連接埠0.0.0.0/0授權

Linux作業系統使用了SSH終端串連，預設使用22連接埠，Windows作業系統使用RDP遠端桌面，預設使用的是3389連接埠。通常情況下，未限制連接埠訪問（0.0.0.0/0授權）允許任意來源的訪問可能導致駭客或攻擊者在未經過您的授權的情況下，通過這些連接埠登入到作業系統中。阿里雲免費為您提供了執行個體層級的虛擬化防火牆（安全性群組），它可以設定單台或多台ECS執行個體網路存取控制，是重要的安全隔離手段。更多資訊，請參見安全性群組概述、安全性群組關聯資源管理。

使用OOS補丁基準自動更新安全補丁

阿里雲系統營運管理OOS能夠自動化管理和執行任務。OOS的補丁基準支援使用者根據預設或自訂的補丁基準對ECS執行個體的補丁進行掃描和安裝。在這個過程中，使用者可以選擇安全相關或其他類型的更新，自動修複相應的ECS執行個體。更多資訊，請參見補丁管理概述。

Alibaba Cloud Linux作業系統核心熱補丁

Alibaba Cloud Linux作業系統為核心熱補丁的高危安全性漏洞（CVE）以及重要的錯誤修複（Bugfix）提供了熱補丁支援，核心熱補丁可以在保證服務的安全性以及穩定性的情況下，平滑且快速地為核心更新高危安全性漏洞以及重要的錯誤修複的補丁。它具備不需要重啟伺服器以及任何業務相關的任務進程、不需要等待長時間啟動並執行任務完成、不需要使用者登出登入、不需要進行業務遷移等優勢。更多資訊，請參見核心熱補丁使用說明。

使用免費的基礎安全服務

在使用公用鏡像新購ECS執行個體時，阿里雲預設會為您提供較為豐富的基礎安全服務（Security Center免費版）。您也可以選擇取消該能力，但是強烈建議您開啟該能力，它能夠為您提供基礎的安全強化能力，包括主流的伺服器漏洞掃描、雲產品安全設定基準核查、登入異常警示、AK異常調用、合規檢查等。Security Center免費版是完全免費的服務，不收取任何費用。如果有更多需求，可以購買進階版、企業版以及旗艦版。更多資訊，請參見基礎安全服務。

日誌審計

等保合規