12.5.2. 防火墙和实例配置集

最常见的操作系统包括基于主机的防火墙，用于额外的安全层。实例应尽可能运行尽可能少的应用（如果可能），实例上运行的所有应用程序都应进行性能分析，以确定应用程序需要访问哪些系统资源、运行所需的最低特权级别，以及将进入和来自于虚拟机的预期网络流量。此预期的流量应当作为允许的流量（或列入）添加到基于主机的防火墙中，以及任何必要的日志记录和管理通信，如 SSH 或 RDP。防火墙配置中应明确拒绝所有其他流量。

在 Linux 实例上，上面的应用配置文件可与 audit2 allow 等工具结合使用，从而构建 SELinux 策略，进一步保护大多数 Linux 分发的敏感信息。SELinux 使用用户、策略和安全上下文的组合来划分应用程序运行所需的资源，并从不需要的其他系统资源进行分段。