كيف ترشّح مجموعات الأمان حركة المرور

إن security group (SG) جدار حماية افتراضي يرتبط مباشرة بواجهة شبكة مرنة (ENI) على مورد مثل مثيل EC2 أو قاعدة بيانات RDS أو موازن تحميل. وهو يتحكم في حركة المرور الواردة والصادرة على مستوى المورد بدلًا من حدود الشبكة، ولذلك يمكن أن تكون لمثيلين في الشبكة الفرعية نفسها قواعد مختلفة تمامًا.

تحتوي مجموعات الأمان على allow rules only. ولا توجد طريقة لكتابة رفض صريح. تُسقط ببساطة أي حركة مرور لا تطابق قاعدة سماح. وهذا يعني أنكم تبنون الوصول بإضافة الأذونات المطلوبة، بينما يكون الإعداد الافتراضي الضمني هو حظر كل ما عدا ذلك.

تحظر مجموعة الأمان الجديدة تمامًا denies all inbound traffic، وتسمح بـ allows all outbound traffic. تفتحون الوصول الوارد عمدًا، منفذًا تلو الآخر، بينما يظل الخروج مفتوحًا على نطاق واسع ما لم تقوموا بتقييده. وغالبًا ما تعتمد سيناريوهات الاختبار على تذكر أن الخروج مسموح به افتراضيًا.

تحدد كل قاعدة protocol (TCP أو UDP أو ICMP)، وport range، وsource (للوارد) أو destination (للصادر). ويمكن أن يكون المصدر كتلة CIDR مثل 10.0.0.0/16 أو معرّف مجموعة أمان أخرى، مما يتيح لكم الإشارة إلى المجموعات بدلًا من عناوين IP ثابتة.

يؤدي تعيين المصدر إلى security group ID أخرى إلى إنشاء وصول ديناميكي قائم على الهوية. فعلى سبيل المثال، يمكن لمجموعة أمان قاعدة البيانات السماح بالمنفذ 5432 من مجموعة أمان طبقة التطبيق فقط. ومع زيادة خوادم التطبيقات أو انخفاضها، لا حاجة إلى تعديل عناوين IP، لأن العضوية في المجموعة المشار إليها هي التي تتحكم في الوصول.

تتسم مجموعات الأمان بأنها stateful. فعند السماح بطلب وارد، يُسمح تلقائيًا بعودة الاستجابة إلى الخارج بغض النظر عن قواعد الخروج، والعكس صحيح. ويجري تتبع الاتصال، لذلك لا تكتبون أبدًا قاعدة مقابلة للعودة. وهذا هو أكبر اختلاف سلوكي بين مجموعات الأمان وnetwork ACLs.

يمكن أن ترتبط عدة مجموعات أمان بواجهة ENI واحدة في الوقت نفسه. وتُطبّق قواعدها combined as a union: فإذا سمحت أي مجموعة مرتبطة بحركة المرور، فسيُسمح بها. ولا يوجد ترتيب أو أولوية للقواعد، لذا لا يمكنكم استخدام مجموعة واحدة لتجاوز أخرى بقاعدة رفض.

طبّق مبدأ أقل الصلاحيات بفتح المنافذ المحددة التي تحتاج إليها كل طبقة فقط. قد تسمح طبقة الويب بالمنفذ 443 من الإنترنت، وتسمح طبقة التطبيق بالمنفذ 8080 من SG الخاص بالويب فقط، بينما تسمح طبقة البيانات بالمنفذ 3306 من SG الخاص بالتطبيق فقط. يحد هذا التسلسل الطبقي من الحركة الجانبية بعد حدوث اختراق.

أخطر إعداد خاطئ هو السماح بـ 0.0.0.0/0 على المنفذ 22 أو 3389، مما يعرّض SSH أو RDP للإنترنت بالكامل. يبلّغ GuardDuty وSecurity Hub عن هذه الإعدادات. يُفضّل عدم فتح منافذ الإدارة الواردة على الإطلاق، واستخدام Session Manager بدلاً من ذلك، وهو ما يغطيه مساق SSM.

لا تسجّل مجموعات الأمان نفسها الحزم المسموح بها أو المرفوضة. لمعرفة حركة المرور التي جرت فعليًا، تعتمد على VPC Flow Logs، التي تسجل قرار القبول أو الرفض لكل اتصال. اقرن تصميم SG بـ Flow Logs للتحقق من أن قواعدك تعمل كما هو مقصود.

تُعد مجموعات الأمان خط الدفاع الشبكي الأول والأكثر دقة داخل VPC، إذ تعمل على مستوى المثيل. وهي تتكامل مع قوائم التحكم بالوصول إلى الشبكة على مستوى الشبكة الفرعية، ومع أدوات طبقة التطبيق مثل WAF. ويُعد إتقان سلوكها ذي الحالة، والقائم على السماح فقط، وسلوك الاتحاد بينها أمرًا أساسيًا لامتحان SCS-C02.

اختبر مدى استيعابك لسلوك مجموعات الأمان.

مجموعات الأمان هي جدران حماية افتراضية ذات حالة وتسمح فقط، ومرفقة بـ ENI الخاص بالمورد. وتبدأ المجموعات الجديدة بـ رفض كل حركة المرور الواردة والسماح بكل حركة المرور الصادرة. تحدد القواعد البروتوكول والمنفذ ومصدرًا يمكن أن يكون CIDR أو معرّف مجموعة أخرى. تُدمج المجموعات المتعددة كاتحاد دون قواعد رفض أو ترتيب أولوية. تجنّب فتح منافذ الإدارة، واستخدم Flow Logs لمراقبة حركة المرور، لأن SGs لا تسجّلها.