端口暴露原则
| 端口 | 服务 | 暴露原则 |
|---|---|---|
| 80/443 | Web/HTTPS | 可对公网开放 |
| 22 | SSH | 仅堡垒机/办公网段 |
| 3389 | RDP | 仅 VPN/堡垒机（严禁公网） |
| 3306/5432 | 数据库 | 仅应用安全组 |
| 6379 | Redis | 仅应用安全组 + 密码 |
| 9200/5601 | ES/Kibana | 仅内网 + 认证 |
公网暴露面审计（阿里云 CLI）
公网暴露面审计（阿里云 CLI）
aliyun ecs DescribeSecurityGroupAttribute --RegionId cn-hangzhou --SecurityGroupId sg-xxxx定期导出所有安全组的 0.0.0.0/0 放行记录做审计，这是最有效的暴露面自查方式。