Sådan filtrerer sikkerhedsgrupper trafik

En sikkerhedsgruppe (SG) er en virtuel firewall, der tilknyttes direkte til et elastisk netværksinterface (ENI) på en ressource såsom en EC2-instans, en RDS-database eller en load balancer. Den kontrollerer indgående og udgående trafik på ressourceniveau i stedet for ved netværksgrænsen, så to instanser i det samme undernet kan have meget forskellige regler.

Sikkerhedsgrupper indeholder kun tilladelsesregler. Du kan ikke skrive et eksplicit afslag. Trafik, der ikke matcher en tilladelsesregel, kasseres ganske enkelt. Det betyder, at du opbygger adgangen ved at tilføje de tilladelser, du ønsker, mens standarden implicit er at blokere alt andet.

En helt ny sikkerhedsgruppe afviser al indgående trafik og tillader al udgående trafik. Du åbner indgående adgang bevidst, port for port, mens udgående trafik forbliver helt åben, medmindre du begrænser den. Eksamenssituationer afhænger ofte af, at du husker, at udgående trafik som standard er tilladt.

Hver regel definerer en protokol (TCP, UDP, ICMP), et portinterval og en kilde (for indgående trafik) eller destination (for udgående trafik). Kilden kan være en CIDR-blok som 10.0.0.0/16 eller et andet sikkerhedsgruppe-id, så du kan referere til grupper i stedet for faste IP-adresser.

Hvis du angiver et andet sikkerhedsgruppe-id som kilde, opretter du dynamisk, identitetsbaseret adgang. En database-SG kan f.eks. tillade port 5432 kun fra SG'en for applikationslaget. Når applikationsservere skaleres op eller ned, er det ikke nødvendigt at ændre IP-adresser, fordi medlemskabet af den refererede gruppe styrer adgangen.

Sikkerhedsgrupper er tilstandsbaserede. Når du tillader en indgående forespørgsel, tillades svaret automatisk ud igen uanset de udgående regler – og omvendt. Forbindelsen spores, så du behøver aldrig skrive en tilsvarende returregel. Det er den største adfærdsmæssige forskel fra netværks-ACL'er.

Et enkelt ENI kan have flere sikkerhedsgrupper tilknyttet på én gang. Deres regler kombineres som en union: Hvis en af de tilknyttede grupper tillader trafikken, tillades den. Der findes ingen rækkefølge eller prioritet for reglerne, så du kan ikke bruge én gruppe til at tilsidesætte en anden med et afslag.

Anvend princippet om mindst mulige privilegier ved kun at åbne de præcise porte, som hvert lag har brug for. Et weblag kan for eksempel tillade 443 fra internettet, et applag tillader kun 8080 fra web-SG'en, og et datalag tillader kun 3306 fra app-SG'en. Denne lagdelte kæde begrænser lateral bevægelse efter et sikkerhedsbrud.

Den farligste fejlkonfiguration er at tillade 0.0.0.0/0 på port 22 eller 3389, så SSH eller RDP eksponeres for hele internettet. GuardDuty og Security Hub markerer disse konfigurationer. Foretræk helt at undgå indgående administratorporte, og brug i stedet Session Manager, som gennemgås i SSM-kurset.

Sikkerhedsgrupper logger ikke selv tilladte eller afviste pakker. Hvis du vil se, hvilken trafik der faktisk strømmede igennem, skal du bruge VPC Flow Logs, som registrerer beslutningen om at acceptere eller afvise hver forbindelse. Kombiner designet af sikkerhedsgrupper med Flow Logs for at kontrollere, at reglerne fungerer som tilsigtet.

Sikkerhedsgrupper er dit første og mest detaljerede forsvarslag i netværket inde i en VPC, og de fungerer på instansniveau. De supplerer netværks-ACL'er, der gælder for hele undernet, samt værktøjer på applikationslaget som WAF. Det er afgørende for SCS-C02-eksamenen at beherske deres tilstandsbevidste adfærd, hvor de kun tillader trafik, og hvor reglerne kombineres som en union.

Sikkerhedsgrupper er tilstandsbevidste virtuelle firewalls, der kun tillader trafik, og de er knyttet til ressourcens ENI. Nye grupper afviser al indgående trafik og tillader al udgående trafik. Regler angiver protokol, port og en kilde, som kan være en CIDR eller et andet gruppe-id. Flere grupper kombineres som en union uden afvisning eller rækkefølge. Undgå åbne administratorporte, og brug Flow Logs til at observere trafikken, fordi sikkerhedsgrupper ikke logger.