Sikkerhedsgrupper og NACL'er

Security Groups har regler, der angiver, hvilken trafik der må nå dine instanser (indgående), og hvilken trafik dine instanser må sende ud (udgående).

• Indgående regler: Definerer, hvilken trafik der må komme ind i din instans.
• Udgående regler: Definerer, hvilken trafik der må forlade din instans.

Som standard er udgående trafik normalt tilladt, mens indgående trafik afvises.

En vigtig egenskab ved Security Groups er, at de er tilstandsbaserede.

Det betyder, at hvis du tillader en indgående forespørgsel (f.eks. en webanmodning til din server), tillader Security Group automatisk det tilsvarende udgående svar at komme tilbage, selvom der ikke findes en eksplicit udgående regel for det.

Den husker forbindelsens "tilstand".

En Network Access Control List (NACL) fungerer som en virtuel firewall for dine subnet. Den styrer trafik, der kommer ind i og forlader hele subnettet.

I modsætning til Security Groups anvendes NACL'er på subnet, hvilket betyder, at alle instanser i det pågældende subnet er underlagt deres regler.

NACL'er har nummererede regler, som evalueres i rækkefølge fra lavest til højest. Når en regel matcher trafikken, anvendes den, og ingen efterfølgende regler evalueres.

NACL'er kan udtrykkeligt tillade eller afvise trafik. Alle NACL'er har også en standardregel, der afviser (*) til sidst, så al trafik, der ikke matcher en anden regel, fanges.

En anden vigtig forskel er, at NACL'er er tilstandsløse.

Hvis du tillader indgående trafik, SKAL du udtrykkeligt oprette en separat udgående regel, der tillader svarttrafikken at komme tilbage. Hvis du ikke gør det, bliver svaret blokeret.

Det betyder, at du skal have regler for begge retninger for enhver forbindelse.

• Anvendelsesområde: SG for instanser, NACL for subnet.
• Tilstand: SG er tilstandsbaseret, NACL er tilstandsløs.
• Regler: SG tillader kun, mens NACL både tillader OG afviser.
• Evaluering: SG evaluerer alle regler, mens NACL evaluerer efter regelnummere i stigende rækkefølge.
• Standard: SG afviser indgående trafik og tillader udgående trafik. NACL tillader som standard alt og afviser derefter alt med *-reglen.

Det er bedste praksis at bruge både Security Groups og NACL'er sammen for at opnå lagdelt sikkerhed:

• Brug NACL'er til bredt at filtrere trafik ved subnetgrænsen og blokere kendte skadelige IP-adresser eller portintervaller.
• Brug Security Groups til finkornet styring af bestemte instanser, så kun nødvendig trafik kan nå dem.

Det skaber en robust strategi med forsvar i dybden.

Godt arbejde! Du har lært om to grundlæggende sikkerhedsværktøjer til AWS-netværk:

• Security Groups: Tilstandsbaserede firewalls for instanser, der tillader specifik indgående og udgående trafik.
• Network ACL'er (NACL'er): Tilstandsløse firewalls for subnet, der tillader eller afviser trafik baseret på reglernes rækkefølge.

Ved at forstå disse værktøjer kan du opbygge et stærkt forsvar i flere lag for dine AWS-ressourcer. Derefter ser vi på IAM Roles og Policies til finkornet adgangsstyring.