Come i security group filtrano il traffico

Un security group (SG) è un firewall virtuale collegato direttamente a un'interfaccia di rete elastica (ENI) di una risorsa come un'istanza EC2, un database RDS o un load balancer. Controlla il traffico in entrata e in uscita a livello della risorsa, anziché al confine della rete; perciò due istanze nella stessa sottorete possono avere regole molto diverse.

I security group contengono solo regole di autorizzazione. Non è possibile scrivere un rifiuto esplicito. Il traffico che non corrisponde a una regola di autorizzazione viene semplicemente scartato. Ciò significa che l'accesso viene configurato aggiungendo le autorizzazioni desiderate, mentre il comportamento predefinito implicito blocca tutto il resto.

Un security group appena creato nega tutto il traffico in entrata e consente tutto il traffico in uscita. L'accesso in entrata viene aperto intenzionalmente, porta per porta, mentre il traffico in uscita rimane completamente consentito a meno che non lo limiti. Negli scenari d'esame è spesso fondamentale ricordare che il traffico in uscita è permissivo per impostazione predefinita.

Ogni regola definisce un protocollo (TCP, UDP, ICMP), un intervallo di porte e un'origine (per il traffico in entrata) o una destinazione (per il traffico in uscita). L'origine può essere un blocco CIDR come 10.0.0.0/16 oppure l'ID di un altro security group, consentendo di fare riferimento ai gruppi anziché a indirizzi IP fissi.

Impostare l'origine sull'ID di un altro security group crea un accesso dinamico basato sull'identità. Ad esempio, un SG del database può consentire la porta 5432 solo dal SG del livello applicativo. Quando i server applicativi aumentano o diminuiscono, non è necessario modificare gli IP, perché l'accesso è determinato dall'appartenenza al gruppo indicato.

I security group sono stateful. Quando consente una richiesta in entrata, la risposta viene automaticamente consentita in uscita indipendentemente dalle regole in uscita, e viceversa. La connessione viene tracciata, quindi non è mai necessario scrivere una regola di ritorno corrispondente. Questa è la principale differenza comportamentale rispetto alle network ACL.

Una singola ENI può avere più security group associati contemporaneamente. Le relative regole vengono combinate come un'unione: se uno qualsiasi dei gruppi associati consente il traffico, questo viene autorizzato. Non esistono ordinamento o priorità delle regole, quindi non può utilizzare un gruppo per sovrascriverne un altro con un rifiuto.

Applichi il principio del privilegio minimo aprendo solo le porte esatte necessarie a ogni livello. Un livello web potrebbe consentire la porta 443 da Internet; un livello applicativo consente la porta 8080 solo dal SG web; un livello dati consente la porta 3306 solo dal SG applicativo. Questa concatenazione tra livelli limita i movimenti laterali dopo una violazione.

La configurazione errata più pericolosa consiste nel consentire 0.0.0.0/0 sulla porta 22 o 3389, esponendo SSH o RDP all'intera Internet. GuardDuty e Security Hub segnalano questi casi. Preferisca non avere affatto porte di amministrazione in ingresso, utilizzando invece Session Manager, spiegato nel corso su SSM.

I security group non registrano direttamente i pacchetti consentiti o negati. Per vedere quale traffico è effettivamente transitato, si utilizzano i VPC Flow Logs, che registrano la decisione di accettazione o rifiuto per ogni connessione. Abbini la progettazione dei SG ai Flow Logs per verificare che le regole si comportino come previsto.

I security group sono la prima e più granulare linea di difesa della rete all'interno di una VPC e operano a livello di istanza. Completano le network ACL a livello di subnet e gli strumenti a livello applicativo come WAF. Padroneggiare il loro comportamento stateful, basato solo su regole di autorizzazione e sull'unione delle regole, è essenziale per l'esame SCS-C02.

Verifichi la Sua comprensione del comportamento dei security group.

I security group sono firewall virtuali stateful e basati solo su regole di autorizzazione, associati all'ENI della risorsa. I nuovi gruppi negano tutto il traffico in ingresso e consentono tutto il traffico in uscita. Le regole specificano protocollo, porta e un'origine, che può essere un CIDR o l'ID di un altro gruppo. Più gruppi si combinano come un'unione, senza regole di negazione né ordine di valutazione. Eviti le porte di amministrazione aperte e utilizzi i Flow Logs per osservare il traffico, poiché i SG non lo registrano.