Verkkotunnusten suodatus ja egress-hallinta

Useimmat palomuurit keskittyvät saapuvaan liikenteeseen, mutta lähtevän liikenteen hallinta on tietoturvan kannalta ratkaisevaa. Murretut työkuormat ottavat yhteyden hyökkääjien palvelimiin saadakseen komentoja tai siirtääkseen tietoja luvattomasti. Resurssien saavuttamien kohteiden rajoittaminen katkaisee tämän reitin ja pienentää tietomurron aiheuttamia vahinkoja.

Suojausryhmät ja NACL:t voivat rajoittaa lähtevää liikennettä vain IP-osoitteen ja portin perusteella, eivät toimialueen perusteella. Koska hyökkääjien infrastruktuuri käyttää vaihtuvia IP-osoitteita ja jaettuja pilvipalvelimia, IP-pohjaiset lähtevän liikenteen säännöt ovat haavoittuvia. Network Firewallin toimialuepohjainen suodatus ratkaisee tämän hallitsemalla kohteita nimen perusteella.

Toimialueiden sallittu luettelo sallii lähtevän liikenteen vain hyväksyttyihin toimialueisiin, kuten ohjelmistovarastoihin, AWS-palvelupäätepisteisiin ja kumppanien API-rajapintoihin, ja estää kaiken muun. Tämä oletusarvoisesti estävä toimintamalli tarkoittaa, ettei edes murrettu isäntä voi ottaa yhteyttä tuntemattomiin command-and-control-palvelimiin.

Toimialueiden estetty luettelo käyttää päinvastaista lähestymistapaa: se estää tunnetut haitalliset tai ei-toivotut toimialueet ja sallii muun liikenteen. Sallitut luettelot ovat tehokkaampia korkean tietoturvan ympäristöissä, kun taas estetyt luettelot sopivat vähemmän rajoitettuihin työkuormiin, joissa kaiken estäminen olisi epäkäytännöllistä.

Network Firewall tarkastaa HTTPS-liikenteen TLS SNI:n (Server Name Indication) ja salaamattoman liikenteen HTTP Host -otsakkeen määrittääkseen kohteen toimialueen. Koska SNI lähetetään salaamattomana TLS-kättelyn aikana, palomuuri voi suodattaa HTTPS-liikennettä toimialueen perusteella purkamatta liikenteen salausta.

Lähtevän liikenteen suodatus torjuu suoraan tietojen luvatonta siirtoa. Jos hyökkääjä yrittää ladata varastettuja tietoja hyväksymättömään pilvitallennus- tai paste-palveluun, toimialuesääntö estää yhteyden. Lokituksen ansiosta saatte myös hälytyksen yrityksestä, mikä tukee tunnistamista.

Haittaohjelmat lähettävät yleensä beacon-yhteyksiä command-and-control (C2) -toimialueille saadakseen ohjeita. Tiukka lähtevän liikenteen sallittu luettelo katkaisee tämän yhteyden, koska C2-toimialue ei ole luettelossa. Näin monet haittaohjelmaperheet voidaan tehdä toimintakyvyttömiksi jopa alkuperäisen tartunnan jälkeen. Tämä on keskeinen eristämisen hallintakeino.

Usean VPC:n ympäristöissä ohjatkaa kaikki lähtevä liikenne transit-yhdyskäytävän kautta keskitettyyn tarkastus-VPC:hen, jossa Network Firewall toimii. Yksi lähtevän liikenteen käytäntö hallitsee tällöin kaikkia työkuormia, ja samaa toimialuesääntöjoukkoa valvotaan yhdenmukaisesti koko organisaatiossa, mikä yksinkertaistaa sekä tietoturvaa että auditointia.

Lähtevän liikenteen suodatus sijaitsee yleensä NAT-yhdyskäytävän rinnalla lähtevän liikenteen reitillä. Liikenne kulkee yksityisistä aliverkoista palomuurin kautta NAT:lle ja siitä internetiin. Reittitaulukoiden on ohjattava liikenne palomuurin päätepisteen kautta ennen NAT:ia, jotta jokainen lähtevä yhteys tarkastetaan.

Lähettäkää Network Firewallin hälytys- ja vuolokit lokiputkeen, jotta näette, mitkä lähtevän liikenteen yritykset estettiin ja mihin toimialueisiin työkuormat ottavat yhteyden. Odottamatta estetyt toimialueet voivat paljastaa tietomurron, kun taas sallittujen kohteiden luettelo auttaa mitoittamaan ja tiukentamaan käytäntöä ajan mittaan.

Tehokas lähtevän liikenteen tietoturva yhdistää toimialueiden sallitut luettelot, tiukan järjestyksen oletusarvoisella estolla, keskitetyn tarkastuksen ja kattavan lokituksen. Näin lähtevä liikenne muuttuu avoimesta ovesta tarkasti hallituksi ja valvottavaksi kanavaksi. Tämä on hallintakeino, jota SCS-C02-kokeessa painotetaan tietomurtojen rajoittamisessa.

Lähtevän liikenteen hallinta estää murrettuja isäntiä ottamasta yhteyttä hyökkääjien infrastruktuuriin. Koska suojausryhmät ja NACL:t suodattavat vain IP-osoitteen ja portin perusteella, käyttäkää Network Firewallin toimialueiden sallittuja tai estettyjä luetteloita, jotka täsmäyttävät TLS SNI:n ja HTTP Hostin ilman salauksen purkamista. Tämä estää command-and-control-beaconit ja tietojen luvattoman siirron. Keskittäkää lähtevä liikenne tarkastus-VPC:hen, sijoittakaa palomuuri ennen NAT:ia ja kirjatkaa kaikki päätökset.