云安全组规则应写明来源、端口和用途。全网开放管理端口，会增加扫描与口令攻击机会。
按业务拆规则
网站入口允许必要访问，数据库与管理端口限制为受控来源。
处理多层规则
核对安全组、系统防火墙和代理限制，避免某层放行绕过另一层预期。
维护规则清单
每条规则有负责人和使用理由，临时规则到期撤回。修改前保留控制台与回退路径。
安全组规则标记用途与负责人
数据库、管理入口和内部服务按来源限制，避免长期保留临时开放规则。
变更前保存配置并确认控制台路径，撤回规则后验证业务依赖，不能依据端口号猜测用途。
例如临时开放数据库给调试人员，结束后应撤回并检查依赖，不无限期保留公网来源。
相关阅读：服务器防火墙与安全组：公网端口和规则管理。