本文由 阿里云国际站代理商『翼龙云/TG @Yilongcloud 撰写』如需转载请注明！
作者：翼龙云/Yilongcloud
风险背景：自动化扫描与告警疲劳
暴露在公网的云服务器持续面临互联网自动化扫描、暴力破解攻击。阿里云国际站 ECS 实例一旦开放 SSH (22)、RDP (3389) 远程管理端口，就会收到海量密码爆破尝试。
高频攻击不仅消耗服务器 CPU、连接数资源，还会持续产生大量暴力破解告警。长期泛滥告警容易造成运维告警疲劳，真正入侵事件容易被淹没。一旦弱密码被破解，业务数据会面临泄露、勒索风险。 做好网络层拦截，减少恶意流量抵达服务器，是云上安全的第一道关键防线。
前置重要提示：
- 云防火墙免费版不支持 IPS 入侵防御、暴力破解拦截，需要按量版 / 高级版及以上版本才具备网络层暴力破解防护能力。
- 双层网络防护不能替代主机安全：操作系统依然需要配置 SSH 密钥登录、关闭弱密码，网络边界拦截不等于主机绝对安全。
- 生产环境最优方案：尽量不要把 22/3389 端口开放公网，优先使用堡垒机 Bastionhost 进行运维登录，彻底消除攻击面。
- IPS 拦截模式分为宽松 / 中等 / 严格，线上业务推荐使用中等模式；严格模式防护最强，但误封风险会升高。
- 重要运维出口 IP 建议添加云防火墙防护白名单，防止威胁情报库误封禁办公、堡垒机公网 IP。
防护架构：安全组与云防火墙的协同纵深防御
仅依靠安全组不足以应对复杂攻击，推荐采用安全组 + Cloud Firewall 云防火墙双层纵深防御架构。
- 安全组（第一层：实例侧四层基础过滤）：工作在实例网络层，基于静态 IP、端口做访问控制。如果直接把管理端口开放 0.0.0/0，安全组无法识别流量内的恶意破解行为，只能做静态放行 / 拒绝。
- Cloud Firewall 云防火墙（第二层：互联网边界动态防护）：同时支持四层与七层流量解析，依托阿里云全局威胁情报库，可以动态识别扫描、暴力破解行为，在流量到达 ECS 实例之前直接阻断恶意 IP。
补充说明：云安全中心属于主机侧防护，恶意流量已经到达服务器后再做拦截；建议作为兜底，不要作为唯一依赖。理想状态下，恶意流量应在网络边界就被拦截，不会流入主机。
配置步骤：双层拦截策略落地
前置条件：
- 拥有阿里云国际版 ECS 实例，绑定公网 IP；
- 开通按量版 / 高级版及以上版本 Cloud Firewall 云防火墙。
注：2026 年 Cloud Firewall 计费版本差异、控制台菜单会随产品迭代更新，请以控制台实际显示为准。
第一层：安全组配置，收敛攻击面（默认拒绝，最小授权）
- 登录阿里云国际控制台，进入 ECS 页面，打开目标实例绑定的安全组。
- 清理高危规则：删除入方向中0.0.0/0开放 22（SSH）、3389（RDP）的高危放行规则。
- 精确放通运维来源：入方向规则，仅放行堡垒机公网 IP、办公固定出口 IP、VPN 出口 IP 访问远程管理端口。
最佳实践：一台 ECS 实例绑定安全组数量不建议超过 2 个，避免多组叠加带来配置遗漏风险。
表格：
| 对比维度 | 安全组 (Security Group) | Cloud Firewall 云防火墙 |
| 工作层级 | 四层（网络 / 传输层） | 四层 + 七层应用层解析 |
| 防御机制 | 静态 IP、端口访问控制 | 威胁情报、IPS 入侵防御、动态 IP 封禁 |
| 暴力破解防御能力 | 仅限制来源 IP，无法识别攻击行为 | 识别爆破特征，自动封禁恶意 IP |
| 策略定位 | 缩小攻击面，只放可信来源 | 针对放行网段内的异常流量深度检测拦截 |
第二层：云防火墙配置，互联网边界深度防护
说明：云防火墙 IPS 防护只对经过互联网边界的公网流量生效，VPC 内网流量不走互联网边界 IPS 策略。
- 进入 Cloud Firewall 控制台，打开【防护配置】-【IPS 配置】模块。
- 威胁引擎运行模式选择拦截 中等（线上业务默认推荐）。
- 开启基础防御、威胁情报开关；开启 SSH/RDP 暴力破解防护规则。当同一个 IP 短时间产生大量登录失败行为，云防火墙会自动将该 IP 封禁一段时间，到期自动解封。
- 将堡垒机、办公网固定出口 IP 加入防护白名单，避免正常运维 IP 被威胁情报误拦截。
验证与排错
效果验证
- 在云防火墙【事件中心 / 入侵防御日志】查看拦截记录，确认可以看到 22/3389 端口的阻断事件。
- 观察云安全中心告警，暴力破解类告警数量显著下降，代表大部分恶意流量已经在网络边界被丢弃。
误拦截处理（运维高频场景）
- 办公 / 堡垒机公网 IP 被云防火墙误封禁：进入云防火墙控制台→封禁管理，找到对应 IP 执行解封；同时把该 IP 加入防护白名单，避免再次被拦截。
- 配置完成后无法 SSH/RDP 登录：依次排查：安全组入方向规则、云防火墙白名单、操作系统防火墙、密钥 / 密码配置。
运维最佳实践
- 优先堡垒机方案：尽量不在安全组对公网开放 22/3389 端口，全部通过堡垒机完成服务器运维，从根源消除爆破攻击面。
- 网络防护不等于主机安全：SSH 优先密钥登录，禁用密码登录；Windows 服务器禁止弱口令，开启主机侧云安全中心兜底防护。
- 定期巡检：定期审计安全组高危规则，定期查看云防火墙拦截日志；长期不用的测试实例及时释放，避免暴露公网。
- 若业务特殊场景必须对外暴露管理端口，务必双层防护同时开启，不可只依赖单一防护手段。
常见问题 (FAQ)：
Q1：安全组已经限制了来源 IP，还需要开启云防火墙吗？ A：需要。安全组只做静态 IP 放行；如果放行的办公出口 IP 被黑客攻陷，攻击者从此 IP 发起爆破，安全组无法拦截。云防火墙可以在放行的 IP 流量里面识别攻击行为，做二次检测。
Q2：云防火墙、云安全中心防暴力破解，两者有什么区别？ A：云防火墙工作在互联网网络边界，流量到达 ECS 实例之前拦截；云安全中心是主机侧防护，流量已经抵达服务器操作系统再做拦截。理想架构：网络边界优先拦截，云安全中心作为兜底防护。
Q3：配置双层防护之后，依然收到暴力破解告警是什么原因？ A：两种常见情况：①有业务需要对外暴露管理端口，部分攻击流量成功抵达主机；②内网 VPC 内部有扫描行为，内网流量不走互联网边界云防火墙 IPS，此时依赖安全组与主机安全中心防护。
Q4：云防火墙 IPS 拦截模式宽松、中等、严格怎么选？ A：绝大多数线上业务选择中等模式；业务对误零容忍选宽松；重安全的演练、隔离测试环境使用严格模式，严格模式会带来更高误封概率。
Q5：办公出口是动态公网 IP，没有固定 IP，该如何防护 SSH 登录？ A：不建议直接开放 22 端口公网。优先使用堡垒机；或者使用 VPN 接入 VPC，SSH 走内网访问，避免直接暴露管理端口到互联网。