Domænefiltrering og egress-kontrol

De fleste firewalls fokuserer på indgående trafik, men styring af udgående trafik er afgørende for sikkerheden. Kompromitterede arbejdsbelastninger kontakter angriberes servere for at modtage kommandoer eller stjæle data. Ved at begrænse, hvilke destinationer dine ressourcer kan kontakte, afbryder du denne vej og begrænser skaden ved et brud.

Sikkerhedsgrupper og NACL'er kan kun begrænse udgående trafik efter IP og port, ikke efter domæne. Da angribernes infrastruktur bruger skiftende IP-adresser og delte cloudværter, er IP-baserede regler for udgående trafik skrøbelige. Domænebaseret filtrering i Network Firewall løser dette ved at styre destinationer efter navn.

En liste over tilladte domæner tillader kun udgående trafik til godkendte domæner, såsom dine softwarelagre, AWS-tjenesteendepunkter og partner-API'er, og blokerer alt andet. Denne tilgang med afvisning som standard betyder, at selv en kompromitteret vært ikke kan kontakte ukendte kommando- og kontrolservere.

En liste over afviste domæner anvender den modsatte tilgang: Den blokerer kendte skadelige eller uønskede domæner, mens resten tillades. Lister over tilladte domæner er stærkere i miljøer med høje sikkerhedskrav, mens lister over afviste domæner passer til mindre restriktive arbejdsbelastninger, hvor det ville være upraktisk at blokere alt.

Network Firewall inspicerer TLS SNI (Server Name Indication) for HTTPS og HTTP Host-headeren for klartekst for at bestemme destinationsdomænet. Da SNI sendes ukrypteret under TLS-håndtrykket, kan firewallen filtrere HTTPS efter domæne uden at dekryptere trafikken.

Udgående filtrering modvirker direkte dataudtræk. Hvis en angriber forsøger at uploade stjålne data til et ikke-godkendt cloudlager eller en paste-tjeneste, blokerer domænereglen forbindelsen. Sammen med logning får du også en alarm om, at forsøget fandt sted, hvilket hjælper med detektionen.

Malware sender typisk signaler til kommando- og kontroldomæner (C2) for at modtage instruktioner. En streng liste over tilladt udgående trafik bryder denne forbindelse, fordi C2-domænet ikke står på listen, og neutraliserer dermed mange malwarefamilier selv efter den første infektion. Dette er en vigtig kontrol til begrænsning af et angreb.

I opsætninger med flere VPC'er skal du dirigere al udgående trafik gennem en central inspektions-VPC, der kører Network Firewall via en transitgateway. Én politik for udgående trafik styrer derefter alle arbejdsbelastninger, og ét sæt domæneregler håndhæves ensartet i hele organisationen, hvilket forenkler både sikkerhed og revision.

Udgående filtrering placeres normalt sammen med en NAT-gateway i den udgående trafiksti. Trafikken går fra private undernet gennem firewallen, derefter gennem NAT og videre til internettet. Routetabellerne skal sende trafikken gennem firewall-endepunktet før NAT, så hver udgående forbindelse inspiceres.

Send Network Firewalls alarm- og flowlogs til din logningspipeline, så du kan se, hvilke forsøg på udgående trafik der blev blokeret, og hvilke domæner arbejdsbelastninger kontakter. Uventede blokerede domæner kan afsløre et brud, mens listen over tilladte domæner hjælper dig med løbende at tilpasse og stramme politikken.

Effektiv sikkerhed for udgående trafik kombinerer lister over tilladte domæner, streng rækkefølge med drop som standard, centraliseret inspektion og grundig logning. Det forvandler udgående trafik fra en åben dør til en stramt styret og synlig kanal, hvilket er en kontrol, SCS-C02-eksamen fremhæver til begrænsning af brud.

Styring af udgående trafik forhindrer kompromitterede værter i at kontakte angribernes infrastruktur. Da sikkerhedsgrupper og NACL'er kun filtrerer efter IP og port, skal du bruge lister over tilladte eller afviste domæner i Network Firewall, som matcher TLS SNI og HTTP Host uden dekryptering. Det blokerer kommando- og kontrolsignaler samt dataudtræk. Centraliser den udgående trafik gennem en inspektions-VPC, placér firewallen før NAT, og log alle beslutninger.