云平台安全组规则规范书

云平台安全组规则规范书一、安全组基础配置规范（一）安全组命名与描述安全组命名需遵循“业务类型-环境-功能-编号”的统一格式，例如“电商交易-生产环境-Web服务-001”，确保通过名称即可快速识别安全组的应用场景与保护对象。描述信息需详细记录安全组的防护范围、开放端口、关联资源等关键内容，如“保护电商生产环境中Web服务器，开放80、443端口供公网访问，关联ECS实例ID：ecs-xxxxxx、ecs-yyyyyy”，便于后续运维与审计工作开展。（二）安全组默认规则设置所有安全组默认需拒绝所有入站流量，仅允许必要的出站流量。出站流量默认可允许访问公网DNS服务器（如、14）以保障域名解析需求，其他出站访问需根据业务需求逐一添加规则。禁止设置“允许所有/0”的入站规则，确需公网访问的服务，需限定具体的源IP地址段或仅允许通过负载均衡等中间件转发流量。（三）安全组关联资源管理单个安全组关联的云资源数量需控制在合理范围内，建议不超过50台ECS实例或20台数据库实例，避免因关联资源过多导致规则变更影响范围过大。关联资源时需进行严格的权限校验，仅允许资源所属项目的负责人或授权运维人员进行操作，操作记录需同步至云平台审计日志系统。二、入站规则配置规范（一）端口开放原则遵循“最小权限”原则，仅开放业务必需的端口。例如，Web服务仅开放80（HTTP）、443（HTTPS）端口；数据库服务仅允许从指定的应用服务器IP段访问3306（MySQL）、5432（PostgreSQL）等端口。禁止开放不必要的高危端口，如22（SSH）、3389（RDP）端口如需开放，需限定源IP为公司办公网络IP段，并通过MFA（多因素认证）进行二次验证。（二）源IP地址限制入站规则的源IP地址需尽可能缩小范围，优先使用VPC内网IP段、公司办公网络IP段或可信合作伙伴的固定IP地址。对于无法提前确定源IP的场景，如移动端APP访问后端服务，可通过配置云平台的WAF（Web应用防火墙）或API网关进行流量转发，再通过安全组允许WAF或API网关的IP地址访问后端资源。禁止使用“/0”作为源IP地址，特殊业务场景确需公网访问的，需经过安全部门审批并设置访问频率限制。（三）协议类型选择根据业务需求选择合适的协议类型，如TCP协议适用于需要可靠数据传输的场景（如Web、数据库服务），UDP协议适用于实时性要求较高的场景（如视频流、语音通话服务）。禁止在安全组规则中同时开放TCP和UDP协议除非业务明确需要，避免扩大攻击面。对于ICMP协议，仅允许必要的网络探测需求，如Ping命令，需限定源IP地址并设置合理的请求频率。三、出站规则配置规范（一）业务依赖访问控制出站规则需根据业务依赖关系进行配置，例如应用服务器需访问数据库服务器的3306端口、缓存服务器的6379端口，需添加对应的目标IP地址与端口规则。禁止设置“允许所有/0”的出站规则，确需访问公网的业务，需限定具体的目标IP地址段或域名。例如，电商平台需访问第三方支付接口，可通过配置域名白名单允许访问等指定域名。（二）公网访问管理对于需要访问公网的业务，需优先通过云平台的NAT网关进行流量转发，避免云资源直接暴露在公网中。NAT网关需配置安全组规则，仅允许关联的云资源访问公网，同时对NAT网关的出站流量进行监控与审计。禁止云资源直接访问公网中的高危服务，如Tor网络、已知恶意IP地址段，需通过云平台的威胁情报系统进行实时拦截。（三）跨VPC访问规则跨VPC访问需通过云平台的对等连接或VPN网关进行，安全组规则中需允许对等连接或VPN网关的IP地址段访问。例如，VPC-A中的应用服务器需访问VPC-B中的数据库服务器，需在VPC-B的数据库安全组中添加允许VPC-A的内网IP段访问3306端口的规则，同时在VPC-A的应用服务器安全组中添加允许访问VPC-B数据库IP地址的出站规则。四、安全组规则变更管理规范（一）变更申请流程安全组规则变更需提交正式的变更申请，申请内容包括变更原因、变更内容、影响范围、回滚方案等信息。变更申请需经过业务负责人、运维负责人、安全负责人的三级审批，审批通过后方可执行变更操作。紧急变更（如处理突发安全事件）可先执行变更，事后24小时内补全审批流程并提交变更报告。（二）变更操作规范变更操作需在非业务高峰时段进行，如凌晨0:00-6:00，避免影响业务正常运行。变更前需对现有安全组规则进行备份，可通过云平台的API工具或控制台导出规则配置文件。变更过程中需进行实时监控，通过云平台的流量监控工具观察资源的访问情况，如出现异常流量或业务中断，需立即执行回滚操作。（三）变更后审计与验证变更完成后，需在24小时内对变更操作进行审计，检查变更内容是否与申请一致、操作记录是否完整、是否存在违规配置等。同时，需联合业务部门对业务系统进行功能验证，确保安全组规则变更未影响业务正常运行。审计与验证结果需形成报告并归档保存，保存期限不少于180天。五、安全组监控与审计规范（一）实时监控配置通过云平台的监控服务对安全组规则的命中情况、流量变化进行实时监控，设置告警阈值。例如，当安全组规则的命中次数突然增加100%以上或出现异常流量（如大量来自恶意IP地址的访问），需立即触发告警通知运维与安全人员。监控指标需包括入站/出站流量大小、规则命中次数、异常访问次数等。（二）审计日志管理云平台需记录所有安全组规则的创建、修改、删除操作，以及关联资源的变更操作，日志内容需包括操作人、操作时间、操作内容、源IP地址等信息。审计日志需保存不少于365天，定期进行备份，备份数据需存储在独立的存储介质中，防止日志被篡改或删除。（三）定期安全评估每季度需对安全组规则进行一次全面的安全评估，评估内容包括规则的合规性、冗余性、有效性等。对于冗余规则（如关联资源已删除但规则未删除）、过期规则（如临时开放的端口未及时关闭）需及时清理；对于存在安全风险的规则（如开放高危端口且源IP范围过大）需立即进行整改。评估结果需形成安全报告并提交至公司安全管理委员会。六、特殊场景安全组规则规范（一）容器化环境安全组配置在Kubernetes等容器化环境中，安全组规则需与容器网络策略（NetworkPolicy）配合使用。安全组主要用于保护宿主机的网络访问，容器网络策略用于控制容器之间的通信。例如，宿主机安全组仅允许开放容器集群的APIServer端口（如6443）供管理节点访问，容器之间的通信通过NetworkPolicy进行细粒度控制，如仅允许Web容器访问数据库容器的3306端口。（二）Serverless场景安全组适配对于Serverless服务（如函数计算），安全组规则需配置为允许函数计算平台的IP地址段访问后端资源。同时，需通过函数计算的权限管理功能限制函数的网络访问范围，仅允许函数访问指定的云资源或公网服务。禁止将函数计算的执行角色配置为具有过高的网络权限，避免因函数代码漏洞导致的网络攻击。（三）混合云环境安全组协同在混合云环境中，需实现公有云与私有云安全组规则的协同管理。通过云平台的跨云管理工具，将私有云的安全组规则与公有云的安全组规则进行同步，确保跨云业务系统的网络访问策略一致。同时，需在公有云与私有云之间建立加密的VPN连接或专线连接，安全组规则需允许连接通道的IP地址段进行通信。七、安全组规则培训与宣贯（一）运维人员培训定期组织运维人员进行安全组规则培训，培训内容包括安全组基础概念、配置规范、变更流程、监控审计等。培训方式可采用线上课程、线下实操演练相结合的方式，培训结束后需进行考核，考核合格后方可参与安全组规则的配置与变更操作。（二）业务部门宣贯向业务部门宣贯安全组规则对业务系统安全的重要性，提高业务人员的安全意识。例如，告知业务人员随意开放端口可能导致的安全风险，以及在业务需求变更时如何正确提交安全组规则变更申请。定期与业务部门开展安全交流会议，收集业务部门对安全组规则的需求与建议，不断优化安全组配置策略。（三）新人入职培训将安全组规则规范纳入新员工入职培训体系，确保新入职的运维、开发、测试等人员在入职初期即了解安全组的配置要求与操作流程。新人入职培训需安排专人进行讲解，并通过实际案例演示违规配置可能带来的后果，帮助新人建立正确的安全配置观念。八、违规处理与持续改进（一）违规行为处理对于违反安全组规则规范的行为，如未经审批擅自开放高危端口、设置违规源IP地址等，需根据违规情节轻重进行处理。情节较轻的，给予口头警告并要求立即整改；情节较重的，给予书面警告、扣除绩效奖金等处罚；情节严重导致安全事件发生的，需追究相关人员的责任，并通报全公司。（二）持续改进机制定期对安全组规则规范进行评审与修订，根据业务发展、技术更新、安全威胁变化等情况及时调整规范内容。例如，随着云平台新功能的推出（如安