Miten Security Groupit suodattavat liikennettä

security group (SG) on virtuaalinen palomuuri, joka liitetään suoraan resurssin, kuten EC2-instanssin, RDS-tietokannan tai kuormantasaajan, elastic network interface (ENI) -verkkoliitäntään. Se hallitsee saapuvaa ja lähtevää liikennettä resurssitasolla eikä verkon rajalla, joten kahdella samassa aliverkossa olevalla instanssilla voi olla hyvin erilaiset säännöt.

Security groupit sisältävät allow rules only eli ainoastaan sallimissääntöjä. Nimenomaista estoa ei voi kirjoittaa. Liikenne, joka ei vastaa mitään sallimissääntöä, hylätään yksinkertaisesti. Käyttöoikeudet rakennetaan siis lisäämällä halutut sallinnat, ja oletusarvoisesti kaikki muu estetään.

Uusi security group denies all inbound eli estää kaiken saapuvan liikenteen ja allows all outbound eli sallii kaiken lähtevän liikenteen. Avatkaa saapuva käyttöoikeus harkitusti portti kerrallaan, kun taas lähtevä liikenne pysyy avoimena, ellette rajoita sitä. Koetilanteissa on usein ratkaisevaa muistaa, että lähtevä liikenne sallitaan oletusarvoisesti.

Jokainen sääntö määrittää protocol-protokollan (TCP, UDP, ICMP), port range -porttialueen sekä source-lähteen (saapuvalle liikenteelle) tai destination-kohteen (lähtevälle liikenteelle). Lähde voi olla CIDR-lohko, kuten 10.0.0.0/16, tai toisen security groupin tunnus, jolloin ryhviin voidaan viitata kiinteiden IP-osoitteiden sijaan.

Lähteen määrittäminen toiseksi security group ID -security groupin tunnukseksi luo dynaamisen, identiteettiin perustuvan käyttöoikeuden. Tietokannan SG voi esimerkiksi sallia portin 5432 vain sovelluskerroksen SG:stä tulevalle liikenteelle. Kun sovelluspalvelimia lisätään tai poistetaan, IP-osoitteita ei tarvitse muuttaa, koska käyttöoikeus perustuu viitatun ryhmän jäsenyyteen.

Security groupit ovat stateful eli tilallisia. Kun sallitte saapuvan pyynnön, vastaus sallitaan automaattisesti ulospäin lähtevänä liikenteenä lähtevistä säännöistä riippumatta, ja sama toimii päinvastoin. Yhteyttä seurataan, joten vastaavaa paluusääntöä ei tarvitse kirjoittaa. Tämä on suurin yksittäinen toiminnallinen ero network ACL:iin verrattuna.

Yhteen ENI:in voidaan liittää samanaikaisesti useita security groupeja. Niiden säännöt combined as a union eli yhdistetään unionina: jos mikä tahansa liitetty ryhmä sallii liikenteen, se sallitaan. Säännöillä ei ole järjestystä tai prioriteettia, joten yhtä ryhmää ei voi käyttää toisen kumoamiseen estolla.

Toteuttakaa vähimpien oikeuksien periaate avaamalla vain ne portit, joita kukin taso tarvitsee. Web-taso voi sallia portin 443 internetistä, sovellustaso sallii portin 8080 vain web-tason SG:stä ja tietotaso sallii portin 3306 vain sovellustason SG:stä. Tämä tasoittainen ketjutus rajoittaa sivuttaista liikkumista tietomurron jälkeen.

Vaarallisin virheellinen määritys on sallia 0.0.0.0/0 portissa 22 tai 3389, jolloin SSH tai RDP altistuu koko internetille. GuardDuty ja Security Hub ilmoittavat näistä. Älkää avatko saapuvia ylläpitokäyttöön tarkoitettuja portteja lainkaan, vaan käyttäkää sen sijaan Session Manageria, jota käsitellään SSM-kurssilla.

Security groupit eivät itsessään lokita sallittuja tai estettyjä paketteja. Nähdäksenne, millaista liikennettä todella kulki, tarvitsette VPC Flow Logs -lokit, jotka tallentavat yhteyskohtaisen hyväksymis- tai hylkäyspäätöksen. Yhdistäkää SG-suunnittelu Flow Logsiin varmistaaksenne, että sääntönne toimivat tarkoitetulla tavalla.

Security groupit ovat ensimmäinen ja tarkimmin kohdistettava verkkopuolustuksen kerros VPC:n sisällä, ja ne toimivat instanssitasolla. Ne täydentävät aliverkon laajuisia verkon ACL-sääntöjä ja sovelluskerroksen työkaluja, kuten WAF:ia. Niiden tilallisen, vain sallivan ja unionina toimivan käyttäytymisen hallitseminen on olennaista SCS-C02-kokeessa.

Security groupit ovat resurssin ENI:hin liitettyjä tilallisia, vain sallivia virtuaalisia palomuureja. Uudet ryhmät estävät kaiken saapuvan liikenteen ja sallivat kaiken lähtevän liikenteen. Säännöissä määritetään protokolla, portti ja lähde, joka voi olla CIDR tai toisen ryhmän tunnus. Useat ryhmät yhdistyvät unioniksi ilman estoja tai järjestystä. Välttäkää avoimia ylläpitoportteja ja käyttäkää Flow Logseja liikenteen seuraamiseen, sillä SG:t eivät lokita liikennettä.