阿里云被攻破_降低因恶意访问流量导致大额资金损失的风险

当您的存储空间遭到恶意攻击或流量被恶意窃取时，可能会出现高带宽或高流量突发，导致账单金额高于您的日常消费。如果您想降低因类似情况而造成巨额财务损失的风险，请参考本文提供的各种安全最佳实践。

重要的

以下最佳实践遵循一般准则，并非完整的安全解决方案。这些最佳实践可能不适合您环境或不符合您的环境要求。我们建议您仅将其作为参考。请在日常使用过程中提高数据安全意识并始终采取内容安全预防措施。

巨额资本损失的风险

当您的存储空间（）遭受恶意攻击或者流量被恶意窃取时，将造成以下巨额经济损失：

修改ACL为私有访问权限

除非您明确要求任何人（包括匿名访问者）都可以读写您的OSS资源，包括存储空间（）和文件（），否则请不要将读写权限ACL设置为公共读（-read）或公共读写（-read-write）。设置公共读或公共读写权限后，访问者的权限如下：

考虑到公共读或者公共读写权限给OSS资源带来的数据安全风险，强烈建议您将 或 的读写权限设置为 ()。设置为 权限后，只有所有者可以对 或 进行读写操作，其他人均无权访问。因此在修改 ACL 为 访问权限前，请确认业务本身不受影响。

您可以通过多种方式将 或 的读写权限设置为私有。有关具体步骤，请参阅 和 。

通过云监控配置报警规则

当您需要监控OSS资源的使用情况及运行情况时，您可以通过云监控创建阈值报警规则，实现当监控指标超出静态阈值或动态阈值时自动发送报警通知的功能，帮助您及时了解异常的监控数据并快速处理。

例如，您可以针对目标存储空间配置一条报警规则，并在报警规则中指定当公网流入流量、公网流出流量、CDN流入流量、CDN流出流量等在连续一段时间内（1个时间段=1分钟）大于等于100时，将报警信息写入日志服务指定位置。

例如当公网流入流量大于等于100时触发报警，报警规则配置如下：

您可以根据维度配置报警规则，也可以针对当前阿里云账户下的所有OSS资源配置报警规则，报警规则配置步骤请参见。

配置热链接保护

OSS支持防盗链的设置，即通过设置访问源的白名单机制，防止OSS资源被他人盗用。

防盗链是通过请求中的地址来判断访问来源的，当浏览器向Web服务器发送请求时，请求中会包含页面链接的来源，用于告知Web服务器该请求的来源。OSS根据浏览器附带的规则以及用户的配置来决定是允许还是拒绝本次请求，如果一致，OSS就会允许该请求的访问；如果不一致，OSS就会拒绝该请求的访问。

如下图所示，设置为，不允许为空。

完成上述防盗链配置后，如果用户A嵌入了一张png图片，当浏览器请求访问这张图片时，就会被包含进去，这种场景下OSS会允许该请求访问。

此时如果用户B盗取了.png图片并嵌入进去，那么浏览器请求访问这个图片的时候就会带上，这种场景下OSS会拒绝访问该请求。

有关热链接保护的更多信息，请参阅开发人员指南。

设置跨源资源共享

跨域资源共享（CORS）是跨域访问的简称，是HTML5提供的标准跨域解决方案，允许Web应用服务器进行跨域访问控制，以保证跨域数据传输的安全。跨域访问是浏览器出于安全考虑而设置的限制，是隔离潜在恶意文件的关键安全机制。当网站A和B属于不同的域时，当来自网站A页面的代码访问网站B时，浏览器会拒绝访问。

OSS支持根据需求灵活配置CORS规则，允许或者拒绝相应的跨域请求，例如如果您希望只允许来源为 ，跨域请求方法为GET的请求，则CORS规则配置如下：

关于 CORS 配置的详细信息，请参阅。

避免使用连续前缀来命名文件

当您上传大量文件时，如果使用顺序前缀（如时间戳或字母顺序）、日期、数字 ID 等可遍历的方式命名文件，攻击者通过总结规则、编写脚本即可获取所有文件，最终导致数据泄露。强烈建议您在文件名前添加十六进制哈希前缀或使用倒序命名文件，可有效降低文件名遍历风险。具体操作请参见。