【阿里云】从基础到应用云上安全航行指南

导论

如何保障云上业务的应用安全和数据安全，是每一个上云的企业和用户关注的重

点。云上安全建设是一个体系化工程，需要用户主动进行多方面的考虑和实施，

包括制定完善的安全策略和规范，如身份认证、访问控制、漏洞管理、安全审计、

数据备份、数据加密等；建立安全监控与防御机制，当出现安全攻击时业务能快

速止损等。安全用云是用好云的第一步，也是最为关键的一步。

在这个背景下，阿里云弹性计算技术公开课在2024年开年全新推出新一季【ECS

安全季】，由阿里云八位产品&技术专家组成讲师团，通过分享云上安全体系相

关产品与最佳实践，让用户快速上手构建业务的安全防护能力。

本书内容整理自ECS安全季中的全部课程，供各位开发者&用户阅览。

阿里云产品专家教你如何全方位构建ECS安全体系>5

阿里云产品专家教你如何全方位构建ECS安全体系

2024开年伊始，阿里云弹性计算团队全新推出新一季【ECS安全季】，通过分享云上安全

体系相关产品与最佳实践，让用户快速上手构建业务的安全防护能力。

首节课程《如何全方位构建ECS的安全体系》由阿里云弹性计算高级产品专家马小婷带来，

课程涵盖了“云上安全的重要性、云安全责任模型、ECS安全能力大图解读”等内容，本系

列全部课程也将在阿里云官网、阿里云官方微信视频号、阿里云官方钉钉视频号、阿里云

开发者微信视频号同步播出。

以下内容根据课程整理而成，供各位开发者阅读：

对于安全问题，很多用户的直接反应就是操作是否太难？没有安全背景和基础能否快速上

手？又或是云上业务规模很小，是否需要知道并了解这些安全措施呢？结合以上的种种问

题，今天的分享希望带给大家两个收获：第一点是让大家对ECS的安全责任边界和作为ECS

的用户所肩负的安全责任有基本的认知，第二点是让大家能够掌握一些解决ECS常见问题

的一些安全技巧，通过本节课程的学习，大家可以立马用起来，毕竟安全无小事。

阿里云产品专家教你如何全方位构建ECS安全体系>6

本次的分享主要分为以上四个方面。

一、云上安全的重要性

首先我们来关注一下云上安全的重要性，一直以来安全问题都是用户上云最关心的问题，

我们得到的调研报告显示96%的受访者其实非常关注云上安全问题，同时有70%及以上的

用户对云上的安全状态信心是不足的。

阿里云产品专家教你如何全方位构建ECS安全体系>7

想要告诉大家的是，这种担心并不是可有可无。随着全球信息化浪潮的不断推进，我们发

现针对数据安全的风险也在不断上升，甚至愈演愈烈，这一部分的风险也来源于攻击者不

断进化的攻击手段和日趋增加的安全事件。

根据cyberattacks-2022年的数据统计显示，2022年全球网络攻击事件相比增加了38%，

而网络攻击带来的后果一般都非常严重，不仅会导致我们的业务中断不可用，而且会导致

敏感数据泄露，以致带来严重的经济损失，比如病毒勒索等。根据IBM调查报告显示，2023

年因为数据泄露导致的平均损失高达445万美元，而数据泄露的平均周期是277天，这也

意味着企业在遭遇了数据泄露以后，平均需要花费277天来识别并控制一个活跃的数据泄

露，时间成本和经济成本非常高。

那么除了日趋复杂和严峻的安全环境之外，我们来看看ECS的用户们经常遇到的威胁都有

哪些。

其实很多用户上云购买的第一个云产品就是云服务器ECS。我们发现很多用户在使用ECS

的过程中存在着一个误解，那就是购买了ECS之后就可以“安全无患、高枕无忧”，其实

阿里云产品专家教你如何全方位构建ECS安全体系>8

不然。上图列举了目前ECS面临的一些典型的安全威胁，相信各位开发者可能也遭遇过。

比如各位的实例遭遇DDos攻击，导致整个应用拒绝服务，或者ECS中了勒索病毒，导致

数据无法被找回，又或者实例登陆密钥被泄露，导致数据被删除无法找回等等。

其实大家遇到的问题只是ECS安全问题的冰山一角，在阿里云后台，我们每天默默处理掉

的ECS的各种安全问题数量也非常惊人。阿里云每天发现并发出以上的漏洞病毒告警超过

10万次，每天帮助用户清理的DDos攻击流量高达2.08Tdps，而我们每天扫描出来的操

作系统这种安全漏斗高达3亿个，每天帮助客户清理的黑客工具高达700万个，这些问题

每天依然在发生，那么导致以上问题的根因是什么呢？

当前云计算安全建设的主要驱动力其实是合规性要求，我们对安全攻击和防护的重视度是

远远不够的，而安全的本质其实是对抗，要抵御各种威胁才是提高安全的最终目标。随着

云计算得到了广泛的应用，聚焦于云计算的攻击者其实会搜集网络上各种云服务，进而去

发现脆弱性并且加以利用。这些脆弱性主要来源于上图展示的五个方面。

根据2023年cloudsecurityAlliance的topcloudsecuritychallenges我们可以看到，

首当其冲的是用户配置不当导致；其次是因为客户在云计算的技能不足导致；第三是多云

阿里云产品专家教你如何全方位构建ECS安全体系>9

环境下的能见度不足导致的。根据Gartner预测，到2025年，由于用户配置不当导致的

安全问题的比例可以高达99%。由此我们可以看到很多安全问题最终的根因其实归结为两

点，第一个其实就是安全意识的不足，第二个是我们安全实践技能相关的缺失。

安全意识的不足这一点大家有目共睹，尤其是在我们DoveOps这种开发模式下，为了提

升我们的开发效率，我们的开发运维团队会大量使用三方开源工具或者一些软件库，甚至

是一些公开的容器镜像。这些开源软件或者是镜像中如果存在了一些安全漏洞，或者说遭

遇了恶意污染，但我们的开发运维同学并不会去做严格的安全风控。最终如果用户使用了

这些软件，那么接下来大家的业务则会面临着一些安全的风险，同时我们也注意到有很多

人在无疑是的把业务中的一些敏感代码或者数据在互联网上进行托管，这种操作其实也会

存在着一些数据泄露的安全风险。

另一个调查可以显示，23%的企业承认自身的业务其实对网络攻击的准备是不足的，而50%

的企业承认自身的网络安全水平其实是落后于起初规划的。其中一方面是因为大家自身技

能的确实，另一方面也是大家不得不考量的成本问题，所以我希望今天的分享能够给大家

做到安全方面的基础的科普，以及安全尝试，帮助大家尽量做到尽量避免因为配置不当或

者意识不足导致的业务风险问题。

阿里云产品专家教你如何全方位构建ECS安全体系>10

二、安全责任共担模型介绍

第二部分将为大家详细介绍ECS的安全责任共担模型。这个责任模型是我们进行云上安全

实践的重要基础，也是主要依据之一。在介绍模型之前，先为介绍一下ECS的底层架构，

因为这也是我们对ECS的安全性进行配置的一个基础。

在传统的云下应用架构下，搭建一个信息系统，需要自行负责信息系统所以来的所有底层

软硬件的资源和服务搭建。如果把信息系统的搭建比作为一个房子，那在我们的传统服务

模式下，我们则需要自行准备搭建一个房子所需要的全部资源。其实这里可以类比为我们

在乡下宅基地自建房，需要选址打地基，设计房屋构造和布局，拉上水电煤等技术服务，

最后做内部装潢，可能还需要判断房子外围是否需要加盖院子和围墙，来保障房子的安全。

所以我们可以看到，在传统架构下，所有的任务和服务都需要我们自行设计、自行管理和

自行维护。

而在infrastructureasservice基础设施及服务这种的服务模式下，我们可以看到云服务

提供商就像房地产开发商一样，每一个基础且重要的“建房步骤”都由云服务提供商来负责

管理和维护，同时他们还需要保障不同的用户或者不同房子之间的资源隔离问题，需要做

到互不影响。而我们作为用户，只需要根据业务需要以及当前的属性去做一些选择和配置

即可。

那我们来看一下选购一个ECS和选购一个“房子”有哪些重要的参考参数呢？

首先就是选择地域和可用区，ECS的地域和可用区类似于房子地段的情况，地段由城市和

县市决定。在地域和可用区的选择上，主要交由用户选择。建议大家选择在更靠近业务服

务的目标用户的区域，这样整个网络延迟相对更低。

其次选择对应的VPC和交换机。VPC是用户自定义的一种私有网络，而不同的VPC之间在

逻辑上是完全隔离的，但同一个VPC中子网又是默认互通的，交换机则是将一个VPC划分

成一个或多个子网，所以从这个概念上来说我们可以把VPC理解为一个小区，同一个小区

阿里云产品专家教你如何全方位构建ECS安全体系>11

中的房子在不出小区的情况下就能够互通，如果我们在一个小区中有多套房子，就可以通

过交换机操作类似单元楼的方式进行划分，方便管理。所以在某种程度上，我们选择ECS

的VPC和交换机，其实就相当于我们在选择房子所在的一个小区和单元楼。

然后我们要选择ECS镜像。ECS镜像我们也叫操作系统，其实我们在选择镜像的时候，可

以分不同的类型和版本，比如我们选择Windowsserver2023这个版本。这就相当于我们

去选择这个房子的户型究竟是三室两厅还是两室两厅。

下一步选择对应的ECS安全组。安全组其实是一个虚拟的防火墙，主要用来控制安全组内

的ECS实例的入出方向的流量，相当于我们设置的一个“规则”来允许什么人可以进出单

元楼，所以我们可以把安全组类比做门禁卡，可以通过设置门禁卡的规则来限定什么样的

人能够进入我们的小区，进入我们的房子。

最后则是选择实例的用户名和密码，也就相当于“房子钥匙”，不同的人可以用钥匙打开我

们的门，进入到房子中去，所以如果我们的用户名和密码没有得到很好的保障，则相当于

我们的钥匙也没有得到很好的保管，那么我们整个ECS其实是可以任由大家访问的。

理解了整个ECS架构，我们就可以看到作为ECS用户，我们就相当于一个房子的租客一样，

需要我们作为租客（用户），对房子中所有的基础设施的配置来负责，包括对应的ECS有

没有设置对应的网络隔离，整个实例操作系统的安全性有没有得到保障等等，以及有没有

设置对应的访问策略，以及在里面跑的这些应用是否安全。这意味着整个ECS内部的这一

部分是由我们作为用户，需要自己管理并负责的。而云服务提供商其实就和房地产开发商

一样，主要负责两部分的安全，第一部分其实负责对整个地域和可用区里面的基础设施进

行和管理和维护，第二部分其实对于我们这个虚拟化服务和云产品的管理和服务进行负责。

阿里云产品专家教你如何全方位构建ECS安全体系>12

在了解底层架构之后，我们再来讨论ECS的安全责任共担模型，其实就会发现，这个模型

会更清晰。上图右侧列举了云服务提供商和我们的用户之间的责任边界，可以看到云服务

提供商对云本身的安全性负责，而云本身的安全性分成了两个维度，第一个就是基础设施

的安全性，第二个是云服务的安全性。基础设施的安全性主要包括底层硬件的主机安全，

以及一些虚拟化的安全。要提供一个安全、合规、可靠的基础设施，这也类似于我们房子

的地基，房子的地基是否安全，房体所使用的钢筋水泥土是否符合国家建筑安全的规定。

云厂商的第二个安全责任就是需要对云服务的安全性负责，主要是云服务本身是否安全。

而在这个基础上，用户侧需要围绕云上安全性需要做哪些事情呢？上文介绍到了ECS一些

重要的参数和组件，其实也是我们在提升ECS安全性方面所需要考虑的几个维度，目前我

们可以分为四个维度。

最底层GuestOs安全其实是我们ECS所有安全的基础，相当于房子的门窗和钥匙是否安全。

其次是访问安全，本质上来说，主要控制有哪些用户能够访问我们的实例。第三块是网络

安全，主要通过网络隔离和网络控制手段提升整个网络的安全性。最后一部分是数据安全，

也是云上安全的最终目标，当然其中也存在着不同的维度，比如我们可以用快照做数据备

份，也可以对存储的数据进行加密，甚至可以通过机密计算的方式保证数据在计算过程中

阿里云产品专家教你如何全方位构建ECS安全体系>13

的安全性，这里预告一下，数据安全在后续章节也会有讲师为大家做深入的开展。

整体来说，ECS的安全责任共担模型明确了云厂商和用户大家的责任边界，以及在每个维

度上用户能够做的提升ECS安全性的一些事情。

前面介绍的安全责任共担模型其实是一个整体大原则，根据《中华人民共和国网络安全法》

以及《互联网信息服务管理办法》等相关法律规定，他们对厂商和云平台其实提出了更多

的法律监管的要求，也意味着云平台除了前面提到的需要对云本身的安全性负责意外，还

需要根据国家的法律法规对以下的两类违法行为进行主动管控。

第一点要强调的就是ECS上的一些违法行为，第二个则是ECS上的一些违法信息。第一类

是违法行为，包括我们在ECS上对其他云产品发起攻击，或者说我们对云产品进行一些扫

描、渗透、测试等探测行为，或者我们使用云产品去搭建DDos的防御服务，还包括我们

使用云产品从事一些虚拟货币相关的工作活动，比如挖矿等，均属于违规行为。第二类是

违法信息，指的则是我们在ECS上搭建一些网站服务，提供色情低俗的内容，或者有欺骗、

赌博等非法行为，以及出现危害国家安全，破坏政治社会稳定的信息。在这种情况下，云

平台有权依照相关的法律采取相应的封禁措施。

阿里云产品专家教你如何全方位构建ECS安全体系>14

对于存在一般违法行为的ECS，阿里云会对ECS上的url和域名采取一些阻断动作。如果

出现账号被封禁，用户可以申请免费解禁，或者申请主动解禁。但对于严重的违法行为，

我们除了阻断url和域名访问意外，还会禁止用户解禁，除非用户把数据完全删除/完全释

放，才会解禁。对于情节严重的违法违规行为，我们会对ECS采取关停甚至限制对应账号

访问的行为。当然如果用户在使用ECS过程中，因为上述问题被阿里云采取了封禁措施，

用户也会收到对应的ECS系统事件以及对应的短信、邮件、站内信的通知。大家可以根据

对应的通知来采取相关的措施进行及时清理。如果没有及时清理，接下来ECS可能就没有

办法正常使用。

三、ECS安全能力大图解读

第三部分我将为大家进行ECS安全能力的全貌解读。

上文《安全责任共担模型》中提到，云厂商负责云本身的安全性，而用户需要对云上的安

全性负责。那在云上安全性这个维度上，阿里云也提供了一系列的安全能力和云产品和功

能，来帮助大家快速的完成对应的安全能力的构建。在这里我们将ECS的安全能力主要分

阿里云产品专家教你如何全方位构建ECS安全体系>15

成了以下五个维度。

第一个是GuestOS安全的安全。

GuestOS安全的安全前面提到其实就是ECS对应的实例操作系统贵的安全性。操作系统的

安全性其实是ECS安全性的基础，主要也包含了两部分的安全，即操作系统本身的安全和

登录安全。这两点类比的话，相当于房子的门窗是否紧锁，以及钥匙和门禁卡是否安全。

第二个是网络安全。

网络安全是最容易忽略的。因为上云之后，所有的资源都在网络上，意味着人人都可以看

到，如果设置不当，也可能会导致人人都能够访问。在这种情况下，如何能够进行安全保

障呢？类比过来就相当于我们在地图上能够看到房子，但并不是所有人都能够进入到房内，

因为单元楼和小区起到了物理的访问隔离的作用，加之门禁卡，就在访问隔离和访问安全

控制下，更好的保障了房子的安全性。在网络上也是一样，可以通过设置对应的访问隔离，

比如VPC的隔离策略来保证某些网络没有办法被其他网络访问，同时还可通过设置对应的

安全组访问策略来限制“进去的人”和“出去的人”，进而提升ECS的网络访问安全性。

第三部分是身份与访问控制。

这就不是从单个资源角度出发，而是从一个组织/公司中很多人在共同使用资源的角度出发。

相当于一个公司有很多房子，分布在多个小区和单元楼，公司中什么样的人能够访问什么

样的资源，对于核心资源的使用过程需要多次验证，临时来访用户需要临时授权等等，需

要能进行精细化管理，同时还需要定时review过去一段时间内，有什么样的人通过什么样

的方式访问了“房子”。

所以某种程度上，身份与访问控制更多的是从一个组织的角度出发，对整个组织下面的多

种角色以及访问行为进行全面的控制，同时还可以做审计，这样可以保证我们云上的资源

访问能够可追溯且可授权。

阿里云产品专家教你如何全方位构建ECS安全体系>16

第四部分是应用安全。

顾名思义，应用主要指的是Web应用，或者说一些APP应用，主要作用其实是对外提供

服务，并不是所有用户买了ECS都一定会对外提供服务，但一旦我们会外提供服务，最重

要的就是保障服务的可用性。那么如何保障我们服务的可用性？阿里云提供了非常多的工

具和产品，比如Web应用防火墙，它可以抵御各种常见的外部攻击。对于网站式APP的

业务流量进行恶意特征识别，然后对流量进行清洗和过滤，能够把正常的流量返回给服务

器，来避免网站服务器被恶意入侵，从而保证整个网络的业务安全。

最后一点数据安全。

数据安全是所有安全防护的终极目标，数据安全也是一个端到端的安全保障机制。因为数

据本身存在三种状态：静止态、传输态、使用态。静止态指数据存放在某种地方，可能存

在被误删/被删除的风险，可以通过定期数据备份保障对应的数据安全。

同时，还可以通过数据加密的方式保证静止态数据安全。数据加密可以防止数据泄露，保

证数据在传输过程中的安全性。使用态的数据使用安全，一般指的是在内存中读写的数据

安全性，而机密计算其实是通过一种基于硬件的可信执行环境来达成在计算中保障数据安

全的目的。所以数据安全更多的是一种端到端的安全保障机制，如果大家的业务对数据安

全有更高的要求，则可以选择性的采取必要的措施来保障数据安全。

为了进一步降低用户使用以上各种工具的门槛，我们提供了ECS使用成熟度评估与洞察这

个产品，它基于云上的最佳实践和在其中提到的云上基础和安全保障能力，为用户做更多

的风险识别，并且能够为大家提供对应的修复建议，最终提升整个ECS安全性。

阿里云产品专家教你如何全方位构建ECS安全体系>17

下面将为大家介绍两个最佳实践，让大家有更直接的体感。

第一个是最佳实践是围绕GuestOS安全性提升的。前面提到了，GuestOS的安全性是整

个云上安全的基础。它分为两个维度的安全，首先是登陆安全，第二个是操作系统的安全。

那如何从这两个维度上去提升我们GuestOS的安全性呢？围绕着登陆安全这个维度我们

有几个简单的tips。

首先当然是使用非root账号登录。我们常见的比如阿里云侧我们会推荐大家使用ECSuesr

账号登录，而不是默认的root账号。如果大家的能力更高阶，我们会推荐用户使用Linux

系统，使用ssh密钥对进行登录，无需密码，安全性更高。

但不管我们使用非root账号的登录，还是使用ssh密钥对登录，都需要定期更新登陆凭证，

避免密码泄露带来的风险。如果我们对ECS的登陆安全有更高的要求，则可以使用我们提

供的云助手提供的会话管理功能。它类似于堡垒机的功能，在不需要密码的情况下能够安

全的登录到ECS的实例上，同时也可以通过会话管理或是workbench对所有的登陆操作

进行追溯。

阿里云产品专家教你如何全方位构建ECS安全体系>18

关于操作系统安全，上文我们也提到操作系统的安全相当于整个房子的门窗是否安全，所

以在这部分，我们首先推荐用户开启镜像加固，使用免费版的云安全中心对操作系统中存

在的安全漏洞进行扫描并定期修复。

同时，云安全中心的收费版不仅可以对系统漏洞进行修复，同时还能够对操作系统中存在

的木马和病毒进行扫描和修复。当然如果我们有足够的能力且没有付费意愿，还可以通过

系统运维管理的补丁管理去自动设置对应的补丁扫描，并且设置对应的修复策略。系统补

丁管理程序则会根据设置自动扫描对应的操作系统中的补丁情况，并根据指定的修复策略

自动完成对应的补丁修复，并且帮助我们去重启实例，保证补丁得到最新的修复。

此外，如果我们对安全等保这个地方有要求，也可以使用阿里云提供的原生操作系统

——AlibabaCloudLinux等保2.0的镜像来提升整个操作系统的安全合规要求。

上图中展示的灰色部分是基础能力，也意味着我们推荐所有用户都采用这样的策略，黄色

部分是高阶能力，推荐大家按需使用。

第二个最佳实践实际为一个综合性解决方案。我们发现很多用户在安全维度面临的问题是，

阿里云产品专家教你如何全方位构建ECS安全体系>19

用户无法判断当前自身业务是否存在安全隐患，所以也无法进行优化/改进。同时，有些用

户想要做一些安全性的改造，却不知道从哪里可以入手且快速看到效果。

正如我们前面介绍的，绝大多数安全性问题其实是由于用户配置不当或者意识不足导致的，

所以对绝大多数用户而言，我们提升安全性的第一步是要识别我们当前的安全风险。那如

何能够快速识别我们业务中常见的通用安全风险，进而防患于未然呢？

在这里，ECSInsight是我们推荐的一款一站式解决方案，它能够帮助用户快速发现问题，

并且识别问题的严重程度，同时推荐对应的解决方案。对于没有太多安全基础，但想要提

升安全性的用户来说，不清楚第一步如何“落脚”，那么ECSInsight是一个快速上手的好

选择。

ECSInsight是一款免费的风险识别类产品，当我们开通服务以后，会自动对我们ECS和关

联资源的分布、使用、配置等信息做分析，并结合机器学习算法进行建模，最终结合云上

的最佳实践和最佳方案，给用户最终提供两个输出。

第一个输出是使用成熟度整体评估，它会从ECS的基础能力、成本、自动化、可靠性、弹

性、安全性六大维度对当前业务进行一个整体评估，每个维度100分。如果该维度存在风

险，则会进行扣分。

第二个输出是对应的风险应对优化推荐方案。对于每个维度的失分项，ECSInsight都会根

据该问题的严重程度来进行区分。对于高危项，我们推荐用户立刻采取行动进行修复，对

于告警，我们推荐用户选择合适的时间及时进行修复。对于提示项、不适用项和健康项，

我们只是作为参考。所以在以上的几种情况下，我们借助ECS能够快速、一键式的识别当

前业务存在的安全风险，并及时修复，防范于未然。

阿里云产品专家教你如何全方位构建ECS安全体系>20

下面为大家介绍一下ECSInsight的简单的demo。大家登录ECS的控制台，在导览页里

面就会有一个ECSInsight使用成熟度评估与洞察这样的一个入口，用户则需要先申请开通

这个服务，开通之后需要花费t+1的时间对当前账号下所有资源的分布、使用、配置等信

息去做一些数据的采集，建模分析，最终就会为大家产出一个分析报告。

其实我们可以看到它主要分为了六个维度，也是从这六个维度的角度上做了评分。每个维

度的分值以及对应的总分，这些都可以看到。对于没有得分的项，ECSinsight会根据对应

问题的严重程度归类。对于高危项和警告项，是需要用户立即采取行动的。而对于不适用

项和提示项，其实是nicetohave的能力，用户可以适当做一些参考。

在安全能力维度上，我们可以看到ECSInsight目前提供的是通用的安全评估能力，主要包

含网络安全能力、实例访问安全能力和实例数据安全能力三个维度，每个维度都提供了详

细的安全风险评估标准。对于未得分项，都可以点开具体看到评分规则，以及对应的受影

响的资源是什么，以及对应的修复建议和对应的最佳实践。

最后我们可以参考最佳实践和对应的修复建议来完成相关的配置修改，就能够完成相关的

风险修复，也欢迎大家到ECSInsight页面上体验我们的产品，从而达到ECS安全性的提

升。

阿里云产品专家教你如何全方位构建ECS安全体系>21

四、云上安全的展望

最后为大家分享我们对云上安全的展望。

第一个是机密计算。上文提到的，网络安全很大一部分其实是为了保障数据安全，而数据

根据其情况我们可以分为静止、传输和使用中三个状态。而存储的数据属于静止态数据，

在网络中属于传输态，而正在处理的数据则属于使用中的状态。前面提到的加密技术主要

用于提高数据的机密性，进而防止一些未授权的访问和保障数据完整性，也就是防止未经

授权的修改，它主要用户保护传输中和静止状态的数据。那么数据在内存中使用时如何保

证其安全性呢？这其实就是机密计算的目标场景了。

机密计算通过在基于硬件的可信执行环境中执行计算的方式来保证使用中的数据的安全性。

而可信执行环境则通常被定义成能够提供一定程度的数据的完整性、机密性和代码完整性

来保护环境。而基于硬件这样一个可信执行环境，主要使用我们芯片中的一些硬件支持的

技术，为代码的执行和环境中的数据提供保护，从而提供一个更强的安全性的保证，进而

有效预防基于内存的攻击手段，比如target的安全事件和CPU的侧通道攻击，它能够防

御一些恶意软件入侵的攻击手法，比如乌克兰的电网攻击。对于机密计算感兴趣的同学可

阿里云产品专家教你如何全方位构建ECS安全体系>22

以听我们后续的其他讲师的一个专题的分享，在这里面我可能就不做详述了。

第二个是零信任安全。零信任安全其实是一种安全理念，它的基本原则其实是不信任任何

设备和用户，除非验证其可信。同时，用户和设备在经过验证之后还会持续监控设备的安

全状态和用户行为，一旦发现信用等级下降，则需要动态的调整访问级别，并在需要的时

候去切断对应的访问会话。所以，零信任本质上来说是一种更安全的云上设备和身份的验

证。

在传统的网络安全保障机制中，主要通过子网划分、安全域划分、网络控制等手段去实现

网络管控。随着网络设备和云计算被广泛使用，也让企业员工在任何时间、任何地点、都

能够使用任何设备来访问企业资源这是一种常态的趋势，在这种趋势下，我们认为零信任

的安全则是一种更安全、更有效的安全防护机制。

最后想和大家分享的一点是“当安全性遇到AI”。其实Gartner早在2016年就提出了

AIOps的概念，并在2017年把它明确定义为需要借助人工智能的算法提供具有一些动态

性、预测性的一个洞察能力，最终实现IT运维自动化的能力。

在AIOps中，我们可以看到Gartner主要强调了三个关键点。第一要使用AI算法，第二

要能够发现并识别一些异常信息，第三是要能够完成一些自动化的运维执行。所以，虽然

AIOps很多时候强调的是智能化运维，但是我认为在安全领域下，这三个关键点依然是有

效的。所以当安全性与AI相碰之后，我们认为AIOps在安全这个领域维度上也应该能够实

现，能够借助我们AI算法去识别一些危险的洞察，并且能够去归纳其攻击行为和攻击意图，

并且能够自动化的给出执行建议，同时自动化的辅助/帮助用户完成对应的安全措施。

以上就是本次课程的全部内容。

/play/u/null/p/1/e/6/t/1/445056548306.mp4

九大提升ECS实例操作系统安全性的技巧>23

九大提升ECS实例操作系统安全性的技巧

引言：【弹性计算技术公开课——ECS安全季】第二节课程由阿里云弹性计算技术专家陈怀

可带来，本文内容整理自他的课程，供各位阅览。

一、安全事件案例回顾与操作系统安全概念介绍

在介绍操作系统安全概念前，我们先来看一下国际上曾经发生过的几个真实的安全事件。

第一个安全事件：国外某政务官员，他是一非常喜欢发推特的人，可能不知道的是，他在

就任期间，他的推特账号曾经被人盗用过。像这类知名的公众人物，他们的一言一行都会

对社会产生重大的影响，可想而知，他们的账号被盗用的影响会有多大。整个安全事件的

过程比较简单，简单梳理一下。

在2012年LinkedIn网站被攻击，2016年，相关的数据库被泄露出去，泄露的数据库中

有包含这位官员的账号和密码，通过这个账号密码，攻击者攻击了他的推特账号。

九大提升ECS实例操作系统安全性的技巧>24

这就是典型的撞库攻击，因为在大多数人的行为习惯中，习惯性的会在所有的产品中长期

使用一个或几个固定的密码。而不会特意去修改。这位官员同大多数人一样，使用同一套

密码，最终导致了他的推特账号被入侵。回过头看整个安全事件，导致这一起事件的根本

原因在于长期使用一套固定的密码，而且没有进行修改。

九大提升ECS实例操作系统安全性的技巧>25

再来看另外一个安全案例，去年九月，斯里兰卡国家政务云被黑，同时丢失了四个月的重

要数据。

详细看一下这个事件的前后因果，斯里兰卡国家政务云中使用一款软件叫做Microsoft

exchange2013版本，这款软件其实已经过期不再被维护，并且软件中存在着致命的安全

漏洞，因为财政方面的问题，没有得到及时升级维护，攻击者通过这软件漏洞发起了勒索

软件攻击，最终导致近四个月数据的永久丢失。可以清晰的知道，导致这一起安全事件的

根本原因在于使用了停服的软件，软件没有得到及时的升级更新安全补丁。

回顾刚刚的两个安全案例，在案例1中，用户用于登录系统的账密泄露了以后，攻击者利

用泄露的账密攻击系统，导致系统被入侵，如果访问操作系统常用的账密泄露了，攻击者

能够很轻易的登录到操作系统，部署勒索键，导起关键数据信息等等危害。

案例2中，系统未及时更新安全补丁，导致攻击者利用漏洞进行入侵并部署勒索软件，攻

击者经常使用操作系统内未及时修复的安全漏洞实施入侵攻击。那么该如何保护我们的操

作系统呢？

九大提升ECS实例操作系统安全性的技巧>26

我们来将操作系统的安全分为三个部分，第一部分是访问操作系统的安全性，它定义了谁

能够来访问操作系统，用怎样的方式来访问。第二部分操作系统内部的安全性，包括安全

补丁以及技术的安全能力等等。第三部分是涉及到法律法规的一些要求，比如审计、合规

要求等等，提升操作系统安全性的办法，我们根据上述的操作系统安全性的三个组成部分，

分别是提升访问操作系统的安全性、安全加固操作系统以及操作系统安全进阶这个三部分。

二、快速提升访问操作系统安全性

接下来针对如何提升操作系统安全性，分三部分详细展开。

在提升访问操作系统安全性上，快速提升访问ECS实例操作系统的安全性。内容主要分三

个部分，使用密钥对登录实例、使用会话管理免密登录实例以及避免端口/0的授

权。

如何使用密钥对登录实例，可能这里会有部分的同学存在疑问，什叫做密钥对？密钥对实

现的原理是什么？使用密钥对登陆实力有什么样的优势？

九大提升ECS实例操作系统安全性的技巧>27

阿里云的密钥对默认采用的是RSA2048位的加密算法生成了包括公钥和私钥，使用公钥

和私钥认证的方式进行登录，是一种安全便捷的登录方式。由用户生成一组密钥对将公钥

推送到目标服务器中的公钥默认存储路径下，阿里云默认公钥存储路径是

~/.ssh/authorized_keys文件。它的登录实现原理如右图所示，用户发起登录请求，服务

器端生成一串随机数，使用公钥进行加密，返回用户端加密的信息，用户端使用私钥本地

进行解密，并发送服务器端解密后的信息，服务器端对比解密后的信息，对比验证信息有

效才允许用户登录。

这种方式相对于传统的账密的登录方式的优点，它的优点主要有两个，一是相对于常规的

用户口令容易被爆破的风险，密钥对杜绝了暴力破解的危险，另外一个是密钥对登录方式

更加简便，一次配置，后续再也不需要输入密码。但是也要求需要保护好私钥不被丢失泄

露，因为拥有您的私钥的任何人可以解密的登录信息。需要注意的是，阿里云不会存储私

钥文件，也就是在创建密钥对时仅有一次下载密钥对的机会。

常用密钥对登录ECS实例的方法，主要有四种，第一种是使用ECS提供的Workbench，

在Workbench中导入私钥连接ECS实例，若您的私钥在本地是加密的，如图所示的

Workbench还可以支持传入私钥口令的方式解密访问。

九大提升ECS实例操作系统安全性的技巧>28

第二种是使用第三方的密钥对工具，使用第三方密钥对登录工具时，需要遵循该工具的使

用规则，比如PuTTYgen需要转化私钥文件的格式。第三种是需要支持密钥对的控制台命

令的环境，需要SSH命令的方式进行连接实例。第四种同样是需要支持密钥对控制台命令

环境，如右图所示的需要配置config文件的ECS别名以及一些比如端口号，登录账号，以

及私钥地址、还有公网信息等等这信息，这种方式适合多台实例登录的场景，这里需要注

意的是以上四种常规的密钥对登录方法，后面三种都是需要用户开启公网的IP才能够进行

访问的。

对需要使用密钥对的用户，如何更好更安全的使用密钥对，我们有两方面的建议，第一是

保护好本地私钥，第二是可以优化密钥对的服务配置。如何保护好本地私钥？常规方案会

推荐用户使用密码的方式进行保护私钥。需要保证持有正确的密码的人才能够访问到私钥。

在使用私钥时，每次都是需要输入密码。

一是控制台Workbench也是支持输入口令密码的方式访问到您的私钥。另外，尽可能的

不使用默认的密钥对的存储位置，将私钥保存在自定义的目录中。在保存私钥的目录中设

置正确的访问权限，只允许特定的用户能够访问。在保存私钥的系统上，还需要及时的安

九大提升ECS实例操作系统安全性的技巧>29

装最新的补丁和安全更新，以保护系统不受知名漏洞的影响。同时，为了防止私钥的丢失

和误操作删除，还可以定期备份私钥。

在使用密钥对服务配置时，我们建议可以修改连接端口为非标准端口，密钥对的默认连接

端口为22端口，很多黑客工具会针对22端口进行扫描攻击，修改端口为非标端口可以提

高安全攻击的门槛，非标端口一般为1024~65535。使用密钥对登录.建议使用非root的账

号登录，根据权限最小原则，对登录ECS实例的用户应该做到权限控制，避免受益过大的

权限。建议您在新购实例时选择使用ecs-user的普通账号，并且在密钥对服务中配置禁止

root的账号身份的登录。

另外，在启用密钥对登录ECS实例的时候，建议及时关闭ECS是实例，通过密码方式的登

录，以进一步提高安全性。

ECS生产密钥对默认采用的是RSA2048的加密方式。如果需要修改加密算法，可以使用

自定义的密钥对导入的方式，在您的本地环境使用密钥对生成器生成以再导入到ECS中。

目前支持的加密算法涵盖了大部分主流的密钥对算法，如右图所示的，比如RSA、DSA、

DSS等等。

九大提升ECS实例操作系统安全性的技巧>30

需要注意的是，在您的本地环境密钥对生成之后，需要导入ECS是公对，请注意检查，避

免导入私钥。要使用密钥对登录ECS实例目前也存在一些限制，比如当前仅支持Linux实

例，不支持Windows实例，使用密钥对登录时，通常还需要开启操作系统的22端口，并

允许指定端口在本地客户端公网IP进行访问连接。

除了使用密钥对登录ECS是实例外，还可以使用会话管理免密登录实例，使用会话管理登

录时具有更高的安全性。接下来我将详细介绍会话管理。

会话管理是由云助手提供的功能，相比于密钥对、VNC等方式，可以更便捷的远程连接ECS

实例，且兼具安全性。从一开始的安全升级案例中，使用常规账密的登录对密码的复杂度

要求比较高，并且需要定期进行修改，防止密码泄露后的风险，很难进行管理。或许大家

可能会想到使用密钥对登录一些实例不就解决问题了？

九大提升ECS实例操作系统安全性的技巧>31

答案是肯定的。不过使用密钥对登录实例的时候也会存在一些因素限制，比如常用的密钥

对登录实例，通常需要开放公网IP，并且开放22端口。一旦公网IP开放之后，允许更多

的人访问的ECS也就增加了对应的攻击面。

另外，无论是使用密钥对还是使用账密登录，都不能做到记录和审计，很难发现攻击者的

入侵行为。

相比于传统账密的登录方式，云助手登录它有几个优点，第一它是不需要分配公网IP的就

可以直接访问，避免了ECS实例暴露到公网环境，第二也不需要设置管理密码，直接免密

登录，避免了账密泄露的风险。它还可以通过管理授权，可以比较灵活的分配和回收权限。

另外它可以记录、审计，通过订阅对应的审计日志进行定期的安全分析，能够及时发现一

些非易侵内的访问行为。

会话管理登录实例是如何做到这些，会话管理建立链接的原理。

如图所示，首先，会话管理客户端发起会话，云助手服务端通过RAM访问控制权限进行健

全，健全通过后会生成用于发起链接的WebSocketURL以及10分钟内有效的token，

返回给会话管理客户端。会话管理客户端通过websocketURL以及token与云助手的服

务端建立了websocket的链接，云助手的服务端控制ECS实例内部的云助手agent建立

websocket连接。云助手的agent和云助手的服务端建立了WebSocket的链接。

在建立WebSocket链接后，可以在会话管理客户端输入命令，该命令以流式传输的方式

输入到ECS并执行，最终在会话管理客户端显示执行的结果。

会话管理的安全性主要在于会话管理客户端与云助手服务端的agent间的通信是使用

WebSocket协议建立的。

九大提升ECS实例操作系统安全性的技巧>32

WebSocket的连接使用了SSO加密的方式保障数据的安全，使用会话管理能够远程连接

指令，不需要密码，也没有泄露密码的风险，能够通过RAM权限安全策略进行管理，云助

手与云助手服务器端通过WebSocket连接，不需要通过SSHVNC等方式登录实例，所以

也就不需要打开入防线端口，进一步提高了ECS安全性。

常用的会话管理链接方式主要有四种，最常用的是直接使用会话管理连接实例，另外也支

持了使用会话管理端口转发连接实例。例如ECS实例中部署了不对外开放的web服务，

可以通过端口转发指的方式直接连接外部服务，还有一些客户希望在使用会话管理的基础

上再次进行鉴权ECS也支持使用会话管理，以密钥对以及临时密钥对方式进行连接实例。

如表格所示的，各自都存在一些优势以及不足，优点是使用会话管理都不需要用户开启公

网IP、会话管理、端口转发以及直连和临时密钥对都不需要再管理密钥以及密码。端口转

发以及直连也不需要开放端口，不足的地方是其中使用会话管理密钥对以及临时密钥对连

接实例的时候，都是需要开放22端口的，使用会话管理密钥对连接实例的场景，同时用户

还需要自己保存对应的私钥。

九大提升ECS实例操作系统安全性的技巧>33

使用会话管理还可以很灵活的管理权限，通过权限的RAM权限策略配置，可以允许子账号

连接所有的实例，也可以允许子账号连接指定的一个或者多个实例，或者使用绑定的实例

标签进行筛选，只允许子账号访问到指定标签的实例，也可以限制通过指定的IP进行连接

实例。

如图所展示的RAM权限配置的案例，配置也比较方便简单，对于大规模的企业产品，强烈

建议使用标签的方式进行批量管理权限，便于权限的回收以及收予。会话管理也存在一些

权限的限制，比如需要一些授权StartTerminalSession的方式，以及

DescribeUserBusinessBehavior等等权限。会话管理的使用还存在一些限制，必须要授

予一些权限，比如StartTerminalSession以及DescribeUserBusinessBehavior等等权限。

除了使用密钥对登录实例以及使用会话管理免密登录实例外，还需要避免端口0.0.0授权

对象的访问。

九大提升ECS实例操作系统安全性的技巧>34

众所周知，Linux操作系统使用了SSH终端连接，默认使用22端口，Windows操作系统

使用的是RPD远程桌面，默认使用的是3389端口。通常场景下，未限制端口访问允许任

意来源的访问可能导致黑客或者攻击者在未经过您的授权的情况下，通过这些端口登录到

操作系统中。

如何限制这些访问？阿里云免费为您提供了实例级别的虚拟化防火墙，也就是安全组，它

可以设置单台或者多台ECS实例网络访问控制，它是重要的安全隔离手段，但是它也需要

经过一些简单的配置。如右图所示的，在创建ECS实例时将使用默认的安全组，默认安全

组将放行22338980443等端口，开放给，默认允许所有IP都可以访问。默认安

全组的配置并不安全，需要经过一些简单的配置。

九大提升ECS实例操作系统安全性的技巧>35

安全组的配置应该遵循以下几个基本原则，安全组应该作为白名单使用，而不是黑名单。

安全组出入规则时应该遵循最小权限原则，避免受予过大的权限。不需要公网访问的资源

不应该提供公网IP，公网IP将暴露增加您的ECS实例的攻击面，先拒绝所有的端口对外开

放。

若您需要开放端口，应尽量避免的授权，并需要开放的端口授权指定的IP或者IP

段访问。如右图所示的案例，安全组配置了仅允许来源IP为00网段通过TCP

协议访问到22端口，经过安全配置之后，00端口可以进行访问，但是

00端口所有的请求将会被拒绝。

我们强烈建议您按照上述的原则，仅开放必要的端口提供给有限的IP进行访问，修改您的

默认安全组规则配置。上面讲了快速提升访问ECS是操作系统安全的三方案，包括使用密

钥对登录，使用会话管理登录实例，避免了端口所有IP的对象访问授权。作为操作系统的

另外一重要的部分，操作系统内部安全也是至关重要的。

三、如何安全加固您的操作系统

接下来介绍一下如何安全加固操作系统。

本章节主要包括三部分，使用OOS补丁基线自动更新安全补丁、AlibabaCloudLinux操

作系统内核热补丁以及使用免费的基础安全服务。

首先来看一下OOS补丁基线自动更新安全补丁。

九大提升ECS实例操作系统安全性的技巧>36

为什么需要更新安全补丁，回顾安全事件案例二，斯里兰卡国家政务云正是因为使用了存

在漏洞的软件，导致操作系统被入侵，丢失了将近四个月的重要数据。如图所示的一些官

方渠道经常会发布一些安全漏洞的公告以及修复漏洞的安全补丁。

黑客常常利用网上已经公布的安全漏洞，并且特定的工具进行扫描、攻击、入侵。您若未

及时更新操作系统，时间越久，您就面临的安全风险越高。安全攻防常常是攻击方、防守

方时间上的竞速，实际上不存在完美的系统，但只要修复的比攻击的更快，系统永远是安

全的。

另外一方面，许多行业标准、法律法规都要求企业定期更新软件或操作系统，并及时安装

最新的安全补丁，以满足合规性的一些要求。既安全补丁的更新重要，如何尽快知道操作

系统中存在安全漏洞，以及如何快速找到对应的安全补丁，并且安装补丁快速修复安全漏

洞。

九大提升ECS实例操作系统安全性的技巧>37

阿里云系统管理与运维服务，也就是OOS是阿里云提供的云上自动化运维服务，能够自动

化管理和执行任务。OOS的补丁基线支持用户根据默认或者自定义的补丁基线对ECS实例

的补丁进行扫描和安装。在这个过程中，用户可以选择安全相关或者其他类型的更新，自

动修复相应的ECS实例。它能够支持主流的Windows、Linux多达31种操作系统，包括

CentOS、RedHat、Ubuntu、WindowsService等等。

九大提升ECS实例操作系统安全性的技巧>38

不同的操作系统版本补丁基线实现的原理因为使用不同的包管理工具，扫描与安装补丁的

原理都会有所差异。如图所示的CentOS7使用的yum、CentOS8使用的是dnf，Ubuntu

使用的是apt，yum包管理工具为例，存在更新通知的概念，在软件仓库存储者名为

updateinfo.xml的一个文件来存储软件的更新通知。

根据updateinfo中的更新通知如图CentOS公共安全基线规则配置所示的补丁基线配置了

包括更新通知的类型以及严重等级，包括了Security\Bugfix\...对应的更新通知的类型以

及严重等级为Critical\Important\...。配置后它工作流等效的命令相当于执行了严重重要

等级的安全补丁以及漏洞补丁，执行yumupdate的命令。可以配置只升级严重以及重要

等级的安全补丁。

常用补丁存在以下几种场景，比如操作系统以及应用程序的安全补丁的应用，Windows安

装ServicePack以及Linux小版本的升级，按照操作系统类型，同时对多台ECS实例进行

批量的漏洞修复，查看缺失的补丁报告，自动安装缺失的补丁以及跨账号跨地域补丁修复，

对于跨账号跨地域的补丁修复的场景，对规模比较大的一些企业，不同的部门ECS实例可

能会存在多个账号，多个账号的一些是的补丁集中管理是比较重要的一个问题。

九大提升ECS实例操作系统安全性的技巧>39

在跨账号的补丁修复的产品中，阿里云的角色主要分为两个，一个是管理账号，另外一个

是资源账号，其中资源账号可以是一个也可以是多个，管理员账号本身其实也是一个资源

账号，如右图所示的可以通过所有资源账号下创建一个管理账号，账号可以分别扮演对应

的RAM角色的方式授予补丁修复的所需要的相关的权限，从而达到管理账号内账号跨地补

丁修复的效果。

操作系统内严重的安全漏洞修复是刻不容缓的，但是修复通常需要重启操作系统才能够进

行生效，重启又会影响线上业务的运行，接下来看一下什么是AlibabaCloudLinux操作

系统内核热补丁。

AlibabaCloudLinux操作系统为内核热补丁的高危安全漏洞，也就是CVE以及重要的错

误修复Bugfix提供了热补丁支持，内核热补丁可以在保证服务的安全性以及稳定性的情况

下，平滑且快速的为内核更新高危安全漏洞以及重要的错误修复的补丁。

它有以下的几个优点，第一是不需要重启服务器以及任何业务相关的任务进程，也不需要

等待长时间运行的任务完成，也不需要用户注销登录，不需要进行业务进行迁移。

九大提升ECS实例操作系统安全性的技巧>40

不过它也存在一些限制，它仅仅适用于AlibabaCloudLinux的操作系统，而且要求是指

定内核版本以上，并不是所有的安全漏洞以及Bugfix都是支持热补丁。热补丁主要的修复

范围是严重级别以上的CVE以及严重级别的错误修复。在更新补丁的过程以及补丁生效之

后，不能对补丁的函数进行测试以及跟踪。

采用热补丁的升级方法主要有两种：

一种是手动的查看AlibabaCloudLinuxCVE公告平台，获取热补丁升级的RPM包，使用

yum安装的一个指定操作系统内核版本的热补丁，但是这种方式是比较繁琐的，推荐使用

第二种方式，安装使用阿里云提供的内核热布定管理工具livepatch-mgr，它能够极大的

简化流程，只要一个命令就能够实现，支持热补丁的查看、安装、卸载等等能力。

除了使用OOS补丁基线以及内核热补丁外，ECS实例还为您提供了免费的基础安全服务。

九大提升ECS实例操作系统安全性的技巧>41

在使用公共镜像新购ECS实例时，阿里云默认会为您提供较为丰富的基础安全服务，也就

是云安全中心免费版。也可以选择取消该能力，但是强烈建议您开启该能力，它能够为您

提供基础的安全加固能力，包括主流的服务器漏洞扫描、云产品安全配置基线核查、登录

异常告警、AK异常调用、合规检查等等。云安全中心免费版是完全免费的服务，不收取任

何费用。如果有更多的一些需求，可以购买相应的高级版、企业版以及旗舰版。

九大提升ECS实例操作系统安全性的技巧>42

我们的云安全中心免费版免费为您提供了漏洞扫描的能力，支持LinuxWindows系统的漏

洞，也支持web-CMS等常见的漏洞一些扫描，还能针对近期互联网上爆发的高危漏洞做

应急漏洞检查，帮助您及时发现系统中存在的重大漏洞。建议您定期检查与管理您的漏洞，

以帮助您更全面的了解您资产中存在的漏洞风险，降低系统被入侵的风险。

云安全中心免费版还为您提供异常登录检查的能力。异常登录检查的原理是云安全中心

agent通过定时收集服务器上的一些登录日志并上传到云端，在云端进行分析和匹配。如

果发现非常用登陆地或者非常用登录的IP在非常用的登录时间、非常用登录账号登录成功

的时间将会触发告警。

如何判定不同的IP的具体登录行为，当云安全中心首次应用在您的服务器上时，由于您服

务器未设置常用登录地点，这段期间内登录行为不会触罚告警。

当某公网IP第一次成功登录到的服务器后，云安全中心将会该IP地址的位置标记为常用

登陆地。并且从这个时间开始往顺延24小时内，所有的公网登录地址将会被记录为常用登

陆地，超过24小时，所有不在上述常用登陆地的行为被视为异常登录告警，当某IP判定

为异常登录行为时，只有第一次登录行为会进行短信告警，如果IP成功登录六次或者六次

九大提升ECS实例操作系统安全性的技巧>43

以上，云安全中心默认将IP地址记录为常用登录地址，异常登录只对公网IP有效，云安全

中心会对某异常IP进行第一处理。

如果使用的云安全中心高级版，企业版或者旗舰版。可以针对服务器进行设置常用登录地、

常用登录IP、采用登录时间、采用登录账号以及对上述的登陆地IP、登录时间登录账号之

外的均设置为提示告警。

除了漏洞扫描、异常登录检查外，云安全中心还支持提供AK泄露检查。AK泄露检查会实

时检查GitHub等平台公开源代码中是否包含阿里云的账号AK，以鉴定您的AK泄露风险。

通常支持的通知方式如下几种方式，一种是AK泄露检查异变的告警，只要检测到AK泄露，

无论AK是否有效都会提供告警。

另外是控制台弹窗的提示，只有检测到泄露的SK信息有效时，在访问阿里云控制台首页或

者多数云产品的控制台时才会提示，根据通知设置发送告警通知，只有检测到泄露的SK信

息有效时，才会根据您设置通知方式，比如站内信