Usare entrambi per la difesa in profondità

La difesa in profondità consiste nel sovrapporre controlli indipendenti, in modo che un errore o una lacuna in uno di essi non esponga il workload. In una VPC, security group e network ACL sono due di questi livelli, affiancati da tabelle di routing, WAF e Network Firewall per formare barriere sovrapposte attorno alle risorse.

I security group offrono un controllo granulare, specifico per risorsa e stateful, con sole regole di autorizzazione. Le NACL offrono un controllo poco granulare, valido per l'intera subnet e stateless, con regole sia di autorizzazione sia di negazione. Utilizzandoli insieme, può definire una baseline ampia per la subnet e al tempo stesso configurare con precisione ogni risorsa.

Perché il traffico in ingresso raggiunga un'istanza, sia la NACL sia il security group devono consentirlo. Una negazione a uno dei due livelli scarta il pacchetto. Questa logica AND fa sì che una NACL restrittiva agisca da rete di sicurezza anche se un security group eccessivamente permissivo viene creato per errore.

Utilizzi le NACL per applicare vincoli di sicurezza a livello di subnet che nessun proprietario di risorsa può ignorare, ad esempio negando un CIDR noto come dannoso o bloccando il traffico tra livelli che non dovrebbero mai comunicare. Poiché le NACL sono poco granulari, mantenga queste regole ampie e stabili.

Utilizzi i security group per le regole quotidiane basate sul privilegio minimo: apra la porta 443 per il livello web, consenta al livello applicativo di raggiungere il database e faccia riferimento ai gruppi invece che agli IP. La maggior parte delle policy di rete risiede qui, perché questo controllo è preciso e stateful.

Una classica progettazione a livelli colloca le subnet pubbliche, private-app e private-data in livelli separati. Le NACL impediscono alla subnet dati di comunicare direttamente con Internet, mentre i security group concatenano il livello web con quello applicativo e con il database. Anche se un attaccante viola un livello, al successivo deve comunque affrontare entrambi i controlli.

La sovrapposizione dei livelli riduce il raggio d'azione di una compromissione. Se un server applicativo viene violato, security group rigorosi gli impediscono di analizzare il livello dati e le NACL bloccano i movimenti laterali nell'intera subnet. L'attaccante rimane confinato, invece di poter esplorare liberamente la VPC.

Confermi che le regole stratificate si comportino davvero come previsto analizzando i VPC Flow Logs. Le voci di rifiuto rivelano i tentativi bloccati; le accettazioni impreviste rivelano le lacune. Abbini i Flow Logs alle query Athena per verificare che il traffico tra i livelli corrisponda alla progettazione prevista.

Poiché i NACL sono senza stato e, per impostazione predefinita, limitati a 20 regole per direzione, non cerchi di esprimere al loro interno policy granulari. Sovraccaricare i NACL crea problemi con le porte effimere e una proliferazione dei numeri di regola. Li mantenga semplici e lasci ai security group i dettagli della policy.

I security group e i NACL filtrano esclusivamente in base a IP, porta e protocollo. Per ispezionare il contenuto HTTP, bloccare l’iniezione SQL o filtrare in base al dominio, aggiunga livelli superiori: WAF per le richieste web e AWS Network Firewall per l’ispezione approfondita dei pacchetti, entrambi trattati più avanti in questa categoria.

Un VPC maturo combina tabelle di routing, NACL, security group, Network Firewall e WAF, ciascuno in grado di intercettare ciò che gli altri non rilevano. L’esame SCS-C02 premia la scelta del controllo appropriato al livello appropriato e la loro combinazione, invece di affidarsi a un unico controllo.

La difesa in profondità combina NACL e security group, in modo che una lacuna nell’uno venga intercettata dall’altro. Entrambi devono consentire il traffico in ingresso perché questo possa passare, pertanto un NACL restrittivo funge da rete di sicurezza. Utilizzi i NACL per vincoli di base a livello di subnet e i security group per il principio del privilegio minimo dettagliato per risorsa. Verifichi con Flow Logs, mantenga semplici i NACL e aggiunga WAF o Network Firewall per il filtraggio basato sul contenuto.