Superposer les deux pour une défense en profondeur

La défense en profondeur consiste à superposer des contrôles indépendants afin qu’une défaillance ou une lacune de l’un d’eux n’expose pas la charge de travail. Dans un VPC, les groupes de sécurité et les ACL réseau sont deux de ces couches ; ils sont complétés par les tables de routage, WAF et Network Firewall pour former des barrières qui se chevauchent autour de vos ressources.

Les groupes de sécurité offrent un contrôle précis, par ressource et avec état, fondé uniquement sur des règles d’autorisation. Les NACL offrent un contrôle global, à l’échelle du sous-réseau et sans état, avec des autorisations et des refus. Les utiliser ensemble vous permet de définir une base générale pour le sous-réseau tout en réglant précisément chaque ressource.

Pour qu’un trafic entrant atteigne une instance, la NACL et le groupe de sécurité doivent tous deux l’autoriser. Un refus à l’un ou l’autre niveau supprime le paquet. Cette logique ET signifie qu’une NACL restrictive sert de filet de sécurité, même si un groupe de sécurité trop permissif est créé par erreur.

Utilisez les NACL pour imposer des garde-fous au niveau du sous-réseau qu’aucun propriétaire de ressource ne peut contourner, par exemple refuser un CIDR connu comme malveillant ou bloquer les communications entre des niveaux qui ne devraient jamais échanger. Comme les NACL sont peu granulaires, gardez ces règles générales et stables.

Utilisez les groupes de sécurité pour les règles quotidiennes et fondées sur le moindre privilège : ouvrez le port 443 sur le niveau Web, autorisez le niveau applicatif à joindre la base de données et référencez les groupes plutôt que les adresses IP. C’est là que se trouve l’essentiel de votre politique réseau, car elle est précise et avec état.

Une conception classique en couches place les sous-réseaux publics, applicatifs privés et de données privés dans des niveaux distincts. Les NACL empêchent le sous-réseau de données de communiquer directement avec Internet, tandis que les groupes de sécurité relient le Web à l’application, puis à la base de données. Même après avoir compromis un niveau, un attaquant rencontre encore les deux contrôles au niveau suivant.

La superposition des couches réduit le périmètre de l’impact d’une compromission. Si un serveur applicatif est compromis, des groupes de sécurité stricts l’empêchent d’analyser le niveau de données, et les NACL bloquent les déplacements latéraux à l’échelle du sous-réseau. L’attaquant est isolé au lieu de pouvoir circuler librement dans le VPC.

Confirmez que vos règles en couches se comportent réellement comme prévu en analysant les journaux de flux VPC. Les entrées rejetées révèlent les tentatives bloquées ; les acceptations inattendues révèlent des lacunes. Associez les journaux de flux à des requêtes Athena pour vérifier que le trafic entre les niveaux correspond à votre conception prévue.

Comme les NACLs sont sans état et limitées par défaut à 20 règles par direction, n’essayez pas d’y exprimer des stratégies détaillées. Surcharger les NACLs crée des difficultés liées aux ports éphémères et une prolifération des numéros de règles. Gardez-les simples et laissez les groupes de sécurité gérer les détails.

Les groupes de sécurité et les NACLs filtrent uniquement selon l’IP, le port et le protocole. Pour inspecter le contenu HTTP, bloquer les injections SQL ou filtrer selon le domaine, ajoutez des couches supérieures : WAF pour les requêtes Web et AWS Network Firewall pour l’inspection approfondie des paquets, deux sujets abordés plus loin dans cette catégorie.

Un VPC mature combine des tables de routage, des NACLs, des groupes de sécurité, Network Firewall et WAF, chacun détectant ce que les autres ne voient pas. L’examen SCS-C02 récompense le choix du contrôle adapté à la bonne couche et leur combinaison, plutôt que la dépendance à un seul contrôle.

La défense en profondeur superpose les NACLs et les groupes de sécurité afin qu’une faille dans l’un soit rattrapée par l’autre. Les deux doivent autoriser le trafic entrant pour que celui-ci passe, ce qui fait d’une NACL restrictive une protection de secours. Utilisez les NACLs pour les garde-fous généraux des sous-réseaux et les groupes de sécurité pour le moindre privilège précis, ressource par ressource. Vérifiez le fonctionnement avec les journaux de flux, gardez les NACLs simples et ajoutez WAF ou Network Firewall pour un filtrage tenant compte du contenu.