Superposición de ambos para una defensa en profundidad

La defensa en profundidad consiste en apilar controles independientes para que un fallo o una deficiencia en uno no exponga la carga de trabajo. En una VPC, los grupos de seguridad y las ACL de red son dos de estas capas, complementadas por tablas de enrutamiento, WAF y Network Firewall para formar barreras superpuestas alrededor de sus recursos.

Los grupos de seguridad ofrecen un control preciso, por recurso y con estado, mediante reglas de solo permiso. Las NACL ofrecen un control general, para toda la subred y sin estado, con permisos y denegaciones. Usarlos conjuntamente permite establecer una base amplia para la subred y ajustar cada recurso con precisión.

Para que el tráfico entrante llegue a una instancia, tanto la NACL como el grupo de seguridad deben permitirlo. Una denegación en cualquiera de las capas descarta el paquete. Esta lógica AND significa que una NACL restrictiva actúa como respaldo incluso si se crea por error un grupo de seguridad demasiado permisivo.

Utilice las NACL para aplicar controles de protección a nivel de subred que ningún propietario de recursos pueda anular, como denegar un CIDR malicioso conocido o bloquear el tráfico entre capas que nunca deberían comunicarse. Como las NACL son poco granulares, mantenga estas reglas amplias y estables.

Utilice los grupos de seguridad para las reglas de privilegio mínimo del día a día: abra el puerto 443 en la capa web, permita que la capa de aplicaciones acceda a la base de datos y haga referencia a grupos en lugar de IP. Aquí reside la mayor parte de su política de red, porque es precisa y tiene estado.

Un diseño clásico por capas coloca las subredes públicas, privadas de aplicaciones y privadas de datos en capas separadas. Las NACL impiden que la subred de datos se comunique directamente con Internet, mientras que los grupos de seguridad encadenan la capa web con la de aplicaciones y esta con la base de datos. Un atacante que vulnere una capa todavía se enfrenta a ambos controles en la siguiente.

La división en capas reduce el radio de impacto de una vulneración. Si se vulnera un servidor de aplicaciones, unos grupos de seguridad estrictos impiden que explore la capa de datos y las NACL detienen el movimiento lateral en toda la subred. El atacante queda confinado en lugar de poder desplazarse libremente por la VPC.

Confirme que las reglas por capas se comportan realmente como espera mediante el análisis de VPC Flow Logs. Las entradas de rechazo revelan intentos bloqueados; las aceptaciones inesperadas revelan deficiencias. Combine Flow Logs con consultas de Athena para auditar si el tráfico entre capas coincide con el diseño previsto.

Dado que las NACL no mantienen estado y, de forma predeterminada, están limitadas a 20 reglas por dirección, no intente expresar políticas detalladas en ellas. Sobrecargar las NACL genera problemas con los puertos efímeros y una proliferación de números de regla. Manténgalas simples y deje que los grupos de seguridad contengan los detalles.

Los grupos de seguridad y las NACL filtran únicamente por IP, puerto y protocolo. Para inspeccionar contenido HTTP, bloquear inyecciones SQL o filtrar por dominio, debe añadir capas superiores: WAF para solicitudes web y AWS Network Firewall para la inspección profunda de paquetes, ambos cubiertos más adelante en esta categoría.

Una VPC madura combina tablas de rutas, NACL, grupos de seguridad, Network Firewall y WAF; cada uno detecta lo que los demás pasan por alto. El examen SCS-C02 recompensa la elección del control adecuado en la capa adecuada y su combinación, en lugar de depender de uno solo.

Reflexione sobre los controles en capas.

La defensa en profundidad combina NACL y grupos de seguridad, de modo que una brecha en uno sea detectada por el otro. Ambos deben permitir el tráfico entrante para que este pase, lo que convierte una NACL restrictiva en una protección de respaldo. Use las NACL para establecer límites generales de seguridad de las subredes y los grupos de seguridad para aplicar el principio de mínimo privilegio detallado por recurso. Verifique el comportamiento con Flow Logs, mantenga las NACL simples y añada WAF o Network Firewall para filtrar según el contenido.