Comment les groupes de sécurité filtrent le trafic

Un groupe de sécurité (SG) est un pare-feu virtuel qui s’attache directement à une interface réseau élastique (ENI) d’une ressource telle qu’une instance EC2, une base de données RDS ou un répartiteur de charge. Il contrôle le trafic entrant et sortant au niveau de la ressource plutôt qu’à la frontière du réseau ; deux instances du même sous-réseau peuvent donc avoir des règles très différentes.

Les groupes de sécurité ne contiennent que des règles d’autorisation. Il est impossible d’écrire un refus explicite. Tout trafic qui ne correspond pas à une règle d’autorisation est simplement abandonné. Vous construisez donc les accès en ajoutant les autorisations souhaitées, tandis que le comportement implicite par défaut bloque tout le reste.

Un groupe de sécurité nouvellement créé refuse tout le trafic entrant et autorise tout le trafic sortant. Vous ouvrez délibérément l’accès entrant, port par port, tandis que la sortie reste entièrement ouverte tant que vous ne la restreignez pas. Les questions d’examen reposent souvent sur le fait de se rappeler que le trafic sortant est autorisé par défaut.

Chaque règle définit un protocole (TCP, UDP, ICMP), une plage de ports et une source (pour le trafic entrant) ou une destination (pour le trafic sortant). La source peut être un bloc CIDR tel que 10.0.0.0/16 ou l’identifiant d’un autre groupe de sécurité, ce qui permet de référencer des groupes plutôt que des adresses IP fixes.

Définir la source comme l’identifiant d’un autre groupe de sécurité crée un accès dynamique fondé sur l’identité. Par exemple, un SG de base de données peut autoriser le port 5432 uniquement depuis le SG de la couche applicative. Lorsque le nombre de serveurs applicatifs augmente ou diminue, aucune modification d’adresse IP n’est nécessaire, car l’accès est régi par l’appartenance au groupe référencé.

Les groupes de sécurité sont à état. Lorsque vous autorisez une demande entrante, la réponse est automatiquement autorisée en sortie, quelles que soient les règles sortantes, et inversement. La connexion est suivie : vous n’avez donc jamais besoin d’écrire une règle de retour correspondante. C’est la principale différence de comportement avec les listes de contrôle d’accès réseau.

Une même ENI peut avoir plusieurs groupes de sécurité associés simultanément. Leurs règles sont combinées par union : si l’un des groupes associés autorise le trafic, celui-ci est autorisé. Il n’existe aucun ordre ni aucune priorité entre les règles ; vous ne pouvez donc pas utiliser un groupe pour remplacer par un refus les règles d’un autre.

Appliquez le principe du moindre privilège en n’ouvrant que les ports exacts dont chaque niveau a besoin. Un niveau Web peut autoriser le port 443 depuis Internet ; un niveau applicatif autorise le port 8080 uniquement depuis le SG Web ; un niveau de données autorise le port 3306 uniquement depuis le SG applicatif. Cet enchaînement par niveaux limite les déplacements latéraux après une compromission.

La mauvaise configuration la plus dangereuse consiste à autoriser 0.0.0.0/0 sur le port 22 ou 3389, ce qui expose SSH ou RDP à l’ensemble d’Internet. GuardDuty et Security Hub signalent ces situations. Préférez ne laisser aucun port d’administration entrant ouvert et utilisez plutôt Session Manager, qui est abordé dans le cours SSM.

Les groupes de sécurité eux-mêmes n’enregistrent pas les paquets autorisés ou refusés. Pour voir quel trafic a réellement circulé, vous devez utiliser les journaux de flux VPC, qui enregistrent la décision d’acceptation ou de rejet pour chaque connexion. Associez la conception des SG aux journaux de flux afin de vérifier que vos règles se comportent comme prévu.

Les groupes de sécurité constituent votre première ligne de défense réseau et la plus granulaire au sein d’un VPC, au niveau des instances. Ils complètent les ACL réseau à l’échelle des sous-réseaux et les outils de la couche applicative comme WAF. Maîtriser leur comportement avec état, uniquement fondé sur l’autorisation et fondé sur l’union est essentiel pour l’examen SCS-C02.

Évaluez votre compréhension du comportement des groupes de sécurité.

Les groupes de sécurité sont des pare-feu virtuels avec état et fondés uniquement sur l’autorisation, associés à l’ENI de la ressource. Les nouveaux groupes refusent tout le trafic entrant et autorisent tout le trafic sortant. Les règles précisent le protocole, le port et une source qui peut être un CIDR ou l’ID d’un autre groupe. Plusieurs groupes se combinent par union, sans refus ni ordre de priorité. Évitez les ports d’administration ouverts et utilisez les journaux de flux pour observer le trafic, car les SG n’enregistrent rien.