استخدام كليهما للدفاع متعدد الطبقات

يعني الدفاع متعدد الطبقات تكديس وسائل تحكم مستقلة بحيث لا يؤدي فشل أو فجوة في إحداها إلى كشف حمل العمل. في VPC، تُعد مجموعات الأمان وقوائم التحكم بالوصول إلى الشبكة طبقتين من هذه الطبقات، وتتكامل مع جداول التوجيه وWAF وNetwork Firewall لتشكيل حواجز متداخلة حول مواردك.

توفر مجموعات الأمان تحكمًا دقيقًا، على مستوى كل مورد، وذا حالة باستخدام قواعد تسمح فقط. وتوفر NACL تحكمًا عامًا، على مستوى الشبكة الفرعية، وعديم الحالة باستخدام كل من السماح والرفض. ويتيح استخدامهما معًا وضع خط أساس واسع للشبكة الفرعية مع ضبط كل مورد بدقة.

لكي تصل حركة المرور الواردة إلى مثيل، يجب أن تسمح بها كل من NACL ومجموعة الأمان. يؤدي الرفض في أي من الطبقتين إلى إسقاط الحزمة. وتعني هذه المنطقية القائمة على AND أن NACL التقييدية تعمل كخط دفاع احتياطي حتى إذا أُنشئت مجموعة أمان متساهلة أكثر من اللازم عن طريق الخطأ.

استخدم NACL لفرض ضوابط حماية على مستوى الشبكة الفرعية لا يستطيع أي مالك مورد تجاوزها، مثل رفض CIDR معروف بأنه ضار أو حظر حركة المرور بين طبقات ينبغي ألا تتواصل مطلقًا. وبما أن NACL عامة، فأبقِ هذه القواعد واسعة ومستقرة.

استخدم مجموعات الأمان لقواعد أقل الصلاحيات اليومية: افتح المنفذ 443 في طبقة الويب، واسمح لطبقة التطبيق بالوصول إلى قاعدة البيانات، وأشر إلى المجموعات بدلًا من عناوين IP. هنا توجد معظم سياسة الشبكة لديك لأنها دقيقة وذات حالة.

يضع التصميم الطبقي التقليدي الشبكات الفرعية العامة، والخاصة بالتطبيق، والخاصة بالبيانات في طبقات منفصلة. تمنع NACL شبكة البيانات الفرعية من الاتصال بالإنترنت مباشرةً، بينما تربط مجموعات الأمان طبقة الويب بطبقة التطبيق ثم بقاعدة البيانات. وحتى إذا اخترق مهاجم طبقة واحدة، فسيظل يواجه وسيلتي التحكم في الطبقة التالية.

يقلص وضع الطبقات نطاق الضرر الناتج عن الاختراق. فإذا اختُرق خادم تطبيق، تمنعه مجموعات الأمان المحكمة من فحص طبقة البيانات، وتمنع NACL الحركة الجانبية على مستوى الشبكة الفرعية. وهكذا يُحاصر المهاجم بدلًا من أن يتنقل بحرية داخل VPC.

تحقق من أن قواعدك متعددة الطبقات تعمل فعليًا كما هو مقصود عبر تحليل VPC Flow Logs. تكشف الإدخالات المرفوضة عن محاولات الحظر، بينما تكشف عمليات القبول غير المتوقعة عن الفجوات. اقرن Flow Logs باستعلامات Athena لمراجعة ما إذا كانت حركة المرور بين الطبقات تطابق تصميمك المقصود.

نظرًا إلى أن NACLs عديمة الحالة ومحدودة افتراضيًا بـ20 قاعدة لكل اتجاه، فلا تحاول التعبير عن سياسة دقيقة باستخدامها. يؤدي تحميل NACLs بأكثر مما تحتمل إلى مشكلات في المنافذ المؤقتة وتضخم أرقام القواعد. اجعلها بسيطة ودع security groups تتولى التفاصيل.

تُجري security groups وNACLs التصفية بناءً على عنوان IP والمنفذ والبروتوكول فقط. لفحص محتوى HTTP أو حظر حقن SQL أو التصفية حسب النطاق، أضف طبقات أعلى: WAF لطلبات الويب وAWS Network Firewall لفحص الحزم بعمق، وسنتناول كليهما لاحقًا في هذه الفئة.

يضع VPC الناضج جداول التوجيه وNACLs وsecurity groups وNetwork Firewall وWAF في طبقات، بحيث يتولى كل منها اكتشاف ما قد تفوّته الطبقات الأخرى. يكافئ اختبار SCS-C02 اختيار عنصر التحكم المناسب في الطبقة المناسبة ودمج عناصر التحكم بدلًا من الاعتماد على عنصر واحد منها.

فكّر في عناصر التحكم متعددة الطبقات.

يجمع الدفاع المتعمق بين NACLs وsecurity groups بحيث تعالج إحداهما الفجوة التي قد تتركها الأخرى. يجب أن تسمح كلتاهما بحركة المرور الواردة حتى تمر الحركة، ما يجعل NACL المقيّدة خط دفاع احتياطيًا. استخدم NACLs لوضع ضوابط عامة على مستوى الشبكة الفرعية، وsecurity groups لتطبيق أقل صلاحيات دقيقة لكل مورد. تحقّق باستخدام Flow Logs، وحافظ على بساطة NACLs، وأضف WAF أو Network Firewall للتصفية المدركة للمحتوى.