Filtraggio dei domini e controllo dell'egress

La maggior parte dei firewall si concentra sul traffico in entrata, ma il controllo del traffico in uscita è fondamentale per la sicurezza. I carichi di lavoro compromessi comunicano con i server degli aggressori per ricevere comandi o esfiltrare dati. Limitare le destinazioni raggiungibili dalle risorse interrompe questo percorso e riduce i danni di una violazione.

I security group e le NACL possono limitare il traffico in uscita solo in base a IP e porta, non al dominio. Poiché l'infrastruttura degli aggressori utilizza IP variabili e host cloud condivisi, le regole di uscita basate sugli IP sono poco affidabili. Il filtraggio basato sul dominio di Network Firewall risolve il problema controllando le destinazioni in base al nome.

Una allow-list di domini consente il traffico in uscita solo verso domini approvati, come repository software, endpoint dei servizi AWS e API dei partner, bloccando tutto il resto. Questo approccio con negazione predefinita fa sì che persino un host compromesso non possa raggiungere server di comando e controllo sconosciuti.

Una deny-list di domini adotta l'approccio opposto: blocca i domini noti come dannosi o indesiderati, consentendo tutti gli altri. Le allow-list sono più efficaci negli ambienti ad alta sicurezza, mentre le deny-list sono adatte a carichi di lavoro meno restrittivi, per i quali bloccare tutto sarebbe impraticabile.

Network Firewall esamina il TLS SNI (Server Name Indication) per HTTPS e l'intestazione Host HTTP per il traffico in chiaro, così da determinare il dominio di destinazione. Poiché l'SNI viene inviato in chiaro durante l'handshake TLS, il firewall può filtrare HTTPS in base al dominio senza decrittografare il traffico.

Il filtraggio del traffico in uscita contrasta direttamente l'esfiltrazione dei dati. Se un aggressore tenta di caricare dati sottratti su un servizio di cloud storage o un sito di paste non approvato, la regola del dominio blocca la connessione. Insieme al logging, si riceve anche un avviso del tentativo, facilitandone il rilevamento.

In genere il malware invia beacon ai domini di comando e controllo (C2) per ricevere istruzioni. Una rigorosa allow-list del traffico in uscita interrompe questo ciclo, perché il dominio C2 non è incluso nell'elenco, neutralizzando molte famiglie di malware anche dopo l'infezione iniziale. Si tratta di un controllo di contenimento fondamentale.

Nelle configurazioni con più VPC, instradi tutto il traffico in uscita attraverso un VPC di ispezione centralizzato che esegue Network Firewall tramite un transit gateway. Una sola policy del traffico in uscita governa quindi tutti i carichi di lavoro e un unico insieme di regole di dominio viene applicato in modo coerente a livello dell'intera organizzazione, semplificando la sicurezza e il controllo.

Il filtraggio del traffico in uscita si trova in genere insieme a un gateway NAT nel percorso in uscita. Il traffico passa dalle sottoreti private attraverso il firewall, quindi dal NAT, fino a Internet. Le tabelle di routing devono inviare il traffico all'endpoint del firewall prima che raggiunga il NAT, in modo che ogni connessione in uscita venga ispezionata.

Invii i log degli avvisi e dei flussi di Network Firewall alla pipeline di log, così da poter vedere quali tentativi in uscita sono stati bloccati e quali domini vengono contattati dai carichi di lavoro. I domini bloccati inattesi possono rivelare una compromissione, mentre l'elenco dei domini consentiti aiuta a dimensionare correttamente e a rendere più restrittiva la policy nel tempo.

Una sicurezza efficace del traffico in uscita combina allow-list di domini, ordine rigoroso con drop predefinito, ispezione centralizzata e logging completo. In questo modo il traffico in uscita passa da porta aperta a canale strettamente governato e osservabile: un controllo che l'esame SCS-C02 sottolinea per il contenimento delle violazioni.

Il controllo del traffico in uscita impedisce agli host compromessi di raggiungere l'infrastruttura degli aggressori. Poiché i security group e le NACL filtrano solo in base a IP e porta, utilizzi in Network Firewall allow-list o deny-list di domini, confrontando il TLS SNI e l'Host HTTP senza decrittografare il traffico. In questo modo si bloccano i beacon di comando e controllo e l'esfiltrazione dei dati. Centralizzi il traffico in uscita attraverso un VPC di ispezione, posizioni il firewall prima del NAT e registri tutte le decisioni.