Domainfilterung und Egress-Kontrolle

Die meisten Firewalls konzentrieren sich auf eingehenden Datenverkehr, doch die Kontrolle ausgehenden Datenverkehrs ist für die Sicherheit entscheidend. Kompromittierte Workloads nehmen Kontakt zu Angreiferservern auf, um Befehle zu empfangen oder Daten zu exfiltrieren. Wenn Sie die erreichbaren Ziele Ihrer Ressourcen einschränken, unterbrechen Sie diesen Weg und begrenzen den Schaden eines Sicherheitsvorfalls.

Security Groups und NACLs können ausgehenden Datenverkehr nur nach IP und Port, nicht jedoch nach Domain einschränken. Da Angreiferinfrastrukturen wechselnde IPs und gemeinsam genutzte Cloud-Hosts verwenden, sind IP-basierte Egress-Regeln unzuverlässig. Die domainbasierte Filterung in Network Firewall löst dieses Problem, indem sie Ziele anhand ihres Namens kontrolliert.

Eine Domain-Positivliste erlaubt ausgehenden Datenverkehr nur zu genehmigten Domains, etwa Ihren Software-Repositories, AWS-Service-Endpunkten und Partner-APIs, und blockiert alles andere. Diese Haltung nach dem Prinzip „standardmäßig verweigern“ bedeutet, dass selbst ein kompromittierter Host keine unbekannten Command-and-Control-Server erreichen kann.

Eine Domain-Negativliste verfolgt den umgekehrten Ansatz: Sie blockiert bekannte schädliche oder unerwünschte Domains und erlaubt den übrigen Datenverkehr. Positivlisten bieten sich für Umgebungen mit hohen Sicherheitsanforderungen an, während Negativlisten für weniger restriktive Workloads geeignet sind, bei denen eine vollständige Blockierung unpraktisch wäre.

Network Firewall prüft für HTTPS die TLS-SNI (Server Name Indication) und für unverschlüsseltes HTTP den HTTP-Host-Header, um die Zieldomain zu bestimmen. Da die SNI während des TLS-Handshakes unverschlüsselt übertragen wird, kann die Firewall HTTPS nach Domain filtern, ohne den Datenverkehr zu entschlüsseln.

Die Egress-Filterung wirkt der Datenexfiltration direkt entgegen. Versucht ein Angreifer, gestohlene Daten auf eine nicht genehmigte Cloud-Speicher- oder Paste-Website hochzuladen, blockiert die Domainregel die Verbindung. Zusammen mit der Protokollierung erhalten Sie außerdem einen Alert über den Versuch, was die Erkennung unterstützt.

Malware sendet typischerweise Beacon-Signale an Command-and-Control-(C2-)Domains, um Anweisungen zu empfangen. Eine strikte Egress-Positivliste unterbricht diesen Kreislauf, weil die C2-Domain nicht auf der Liste steht. Dadurch werden viele Malware-Familien selbst nach einer anfänglichen Infektion unschädlich gemacht. Dies ist eine wichtige Maßnahme zur Eindämmung.

Leiten Sie in Umgebungen mit mehreren VPCs den gesamten ausgehenden Datenverkehr über ein zentrales Prüfungs-VPC, in dem Network Firewall über ein Transit Gateway ausgeführt wird. Eine einzige Egress-Richtlinie steuert dann jeden Workload, und ein einheitlicher Satz von Domainregeln wird organisationsweit konsistent durchgesetzt. Das vereinfacht sowohl die Sicherheit als auch die Prüfung.

Die Egress-Filterung befindet sich im Pfad für ausgehenden Datenverkehr normalerweise neben einem NAT Gateway. Der Datenverkehr fließt aus privaten Subnetzen zunächst durch die Firewall, anschließend durch NAT und dann ins Internet. Die Routingtabellen müssen den Datenverkehr vor dem NAT über den Firewall-Endpunkt leiten, damit jede ausgehende Verbindung geprüft wird.

Senden Sie Alert- und Flow-Logs von Network Firewall an Ihre Protokollierungspipeline, damit Sie sehen können, welche Egress-Versuche blockiert wurden und welche Domains Workloads kontaktieren. Unerwartete blockierte Domains können auf eine Kompromittierung hindeuten, während die Positivliste Ihnen hilft, die Richtlinie im Laufe der Zeit passend zu dimensionieren und zu verschärfen.

Eine wirksame Egress-Sicherheit kombiniert Domain-Positivlisten, eine strikte Reihenfolge mit standardmäßigem Verwerfen, zentrale Prüfung und umfassende Protokollierung. Dadurch wird aus ausgehendem Datenverkehr statt einer offenen Tür ein streng kontrollierter und transparenter Kanal – eine Maßnahme zur Eindämmung von Sicherheitsvorfällen, die die SCS-C02-Prüfung besonders hervorhebt.

Die Egress-Steuerung verhindert, dass kompromittierte Hosts Angreiferinfrastrukturen erreichen. Da Security Groups und NACLs nur nach IP und Port filtern, sollten Sie in Network Firewall Domain-Positiv- oder -Negativlisten verwenden, die die TLS-SNI und den HTTP-Host abgleichen, ohne den Datenverkehr zu entschlüsseln. Dadurch werden Command-and-Control-Beacons und Datenexfiltration blockiert. Zentralisieren Sie den Egress über ein Prüfungs-VPC, platzieren Sie die Firewall vor NAT und protokollieren Sie alle Entscheidungen.