Cara Security Group Menyaring Lalu Lintas

kelompok keamanan (SG) adalah firewall virtual yang terhubung langsung ke antarmuka jaringan elastis (ENI) pada sumber daya seperti instans EC2, basis data RDS, atau penyeimbang beban. Kelompok ini mengendalikan lalu lintas masuk dan keluar pada tingkat sumber daya, bukan pada batas jaringan, sehingga dua instans dalam subnet yang sama dapat memiliki aturan yang sangat berbeda.

Kelompok keamanan hanya berisi aturan izinkan. Tidak ada cara untuk menulis penolakan eksplisit. Lalu lintas apa pun yang tidak cocok dengan aturan izinkan akan langsung dibuang. Artinya, Anda membangun akses dengan menambahkan izin yang diinginkan, sedangkan bawaan implisitnya adalah memblokir semua yang lain.

Kelompok keamanan yang baru dibuat menolak semua lalu lintas masuk dan mengizinkan semua lalu lintas keluar. Anda membuka akses masuk dengan sengaja, port demi port, sedangkan lalu lintas keluar tetap terbuka lebar kecuali Anda memperketatnya. Skenario ujian sering bergantung pada pemahaman bahwa lalu lintas keluar secara bawaan bersifat permisif.

Setiap aturan menentukan protokol (TCP, UDP, ICMP), rentang port, dan sumber (untuk lalu lintas masuk) atau tujuan (untuk lalu lintas keluar). Sumber dapat berupa blok CIDR seperti 10.0.0.0/16 atau ID kelompok keamanan lain, sehingga Anda dapat merujuk ke kelompok, bukan IP tetap.

Menetapkan sumber ke ID kelompok keamanan lain akan membuat akses dinamis berbasis identitas. Misalnya, SG basis data dapat mengizinkan port 5432 hanya dari SG lapisan aplikasi. Saat server aplikasi bertambah atau berkurang, tidak diperlukan perubahan IP karena keanggotaan dalam kelompok yang dirujuk menentukan akses.

Kelompok keamanan bersifat berstatus. Saat Anda mengizinkan permintaan masuk, responsnya secara otomatis diizinkan keluar terlepas dari aturan keluar, dan sebaliknya. Koneksi dilacak, sehingga Anda tidak perlu menulis aturan balasan yang sesuai. Inilah perbedaan perilaku terbesar dari ACL jaringan.

Satu ENI dapat memiliki beberapa kelompok keamanan yang terhubung sekaligus. Aturannya digabungkan sebagai gabungan: jika salah satu kelompok yang terhubung mengizinkan lalu lintas, lalu lintas tersebut diizinkan. Tidak ada urutan atau prioritas aturan, sehingga Anda tidak dapat menggunakan satu kelompok untuk menimpa kelompok lain dengan penolakan.

Terapkan hak istimewa minimum dengan hanya membuka port yang benar-benar diperlukan setiap tingkat. Tingkat web dapat mengizinkan 443 dari internet; tingkat aplikasi mengizinkan 8080 hanya dari SG web; tingkat data mengizinkan 3306 hanya dari SG aplikasi. Rantai bertingkat ini membatasi pergerakan lateral setelah terjadi pelanggaran.

Salah konfigurasi yang paling berbahaya adalah mengizinkan 0.0.0.0/0 pada port 22 atau 3389, sehingga SSH atau RDP terbuka untuk seluruh internet. GuardDuty dan Security Hub akan menandainya. Sebaiknya jangan membuka port administrasi masuk sama sekali; gunakan Session Manager, yang dibahas dalam kursus SSM.

Grup keamanan itu sendiri tidak mencatat paket yang diizinkan atau ditolak. Untuk melihat lalu lintas yang benar-benar mengalir, Anda mengandalkan VPC Flow Logs, yang mencatat keputusan terima atau tolak untuk setiap koneksi. Padukan desain SG dengan Flow Logs untuk memverifikasi bahwa aturan Anda bekerja sesuai harapan.

Grup keamanan adalah lapisan pertama dan paling terperinci dalam pertahanan jaringan di dalam VPC, yang bekerja pada tingkat instans. Grup keamanan melengkapi ACL jaringan pada tingkat subnet serta alat pada lapisan aplikasi seperti WAF. Menguasai perilakunya yang stateful, hanya mengizinkan, dan bergabung sebagai union sangat penting untuk ujian SCS-C02.

Uji pemahaman Anda tentang perilaku grup keamanan.

Grup keamanan adalah firewall virtual yang stateful dan hanya mengizinkan, yang terpasang pada ENI sumber daya. Grup baru menolak semua lalu lintas masuk dan mengizinkan semua lalu lintas keluar. Aturan menentukan protokol, port, dan sumber yang dapat berupa CIDR atau ID grup lain. Beberapa grup bergabung sebagai union tanpa penolakan atau urutan prioritas. Hindari port administrasi yang terbuka, dan gunakan Flow Logs untuk mengamati lalu lintas karena SG tidak mencatatnya.