Penapisan Domain dan Kawalan Keluar

Kebanyakan tembok api memberi tumpuan kepada trafik masuk, tetapi kawalan egress (keluar) amat penting untuk keselamatan. Beban kerja yang telah terjejas menghubungi pelayan penyerang untuk menerima arahan atau menghantar keluar data. Mengehadkan destinasi yang boleh dicapai oleh sumber anda memutuskan laluan ini dan mengehadkan kerosakan akibat pelanggaran.

Kumpulan keselamatan dan NACL hanya boleh mengehadkan trafik keluar berdasarkan IP dan port, bukan Domain. Oleh sebab infrastruktur penyerang menggunakan IP yang berubah-ubah dan hos awan yang dikongsi, peraturan egress berasaskan IP mudah terjejas. Penapisan berdasarkan Domain dalam Network Firewall menyelesaikan masalah ini dengan mengawal destinasi berdasarkan nama.

Senarai Allow Domain hanya membenarkan trafik keluar ke Domain yang diluluskan, seperti repositori perisian, titik hujung perkhidmatan AWS dan API rakan kongsi, serta menyekat segala-galanya yang lain. Pendekatan Deny secara lalai ini bermakna hos yang telah terjejas pun tidak boleh mencapai pelayan arahan dan kawalan yang tidak dikenali.

Senarai Deny Domain mengambil pendekatan bertentangan, dengan menyekat Domain yang diketahui berbahaya atau tidak dikehendaki sambil membenarkan yang lain. Senarai Allow lebih kukuh untuk persekitaran keselamatan tinggi, manakala senarai Deny sesuai untuk beban kerja yang kurang ketat apabila menyekat segala-galanya tidak praktikal.

Network Firewall memeriksa TLS SNI (Server Name Indication) untuk HTTPS dan pengepala Host HTTP untuk teks biasa bagi menentukan Domain destinasi. Oleh sebab SNI dihantar dalam bentuk jelas semasa jabat tangan TLS, tembok api boleh menapis HTTPS berdasarkan Domain tanpa menyahsulit trafik.

Penapisan egress secara langsung menentang penghantaran keluar data. Jika penyerang cuba memuat naik data yang dicuri ke storan awan atau laman tampalan yang tidak diluluskan, peraturan Domain menyekat sambungan itu. Dengan pengelogan, anda juga menerima amaran bahawa cubaan telah berlaku, sekali gus membantu pengesanan.

Perisian hasad biasanya menghantar isyarat kepada Domain arahan dan kawalan (C2) untuk menerima arahan. Senarai Allow egress yang ketat memutuskan gelung ini kerana Domain C2 tiada dalam senarai, lalu meneutralkan banyak keluarga perisian hasad walaupun selepas jangkitan awal. Ini ialah kawalan pembendungan yang penting.

Dalam persediaan berbilang VPC, halakan semua trafik keluar melalui VPC pemeriksaan berpusat yang menjalankan Network Firewall melalui get laluan transit. Satu dasar egress kemudiannya mengawal setiap beban kerja, dan satu set peraturan Domain dikuatkuasakan secara konsisten di seluruh organisasi, sekali gus memudahkan keselamatan dan pengauditan.

Penapisan egress biasanya berada bersama get laluan NAT dalam laluan keluar. Trafik mengalir dari subnet peribadi melalui tembok api, kemudian NAT, ke Internet. Jadual laluan mesti menghantar trafik melalui titik hujung tembok api sebelum NAT supaya pemeriksaan berlaku pada setiap sambungan keluar.

Hantar log amaran dan aliran Network Firewall ke saluran paip log anda supaya anda dapat melihat cubaan egress yang disekat serta Domain yang dihubungi oleh beban kerja. Domain yang disekat secara tidak dijangka boleh mendedahkan pencerobohan, manakala senarai yang dibenarkan membantu anda menentukan saiz yang sesuai dan mengetatkan dasar dari semasa ke semasa.

Keselamatan egress yang berkesan merangkumi senarai Allow Domain, turutan ketat dengan guguran lalai, pemeriksaan berpusat dan pengelogan menyeluruh. Ini mengubah trafik keluar daripada pintu terbuka kepada saluran yang dikawal rapi dan boleh diperhatikan, iaitu kawalan yang ditekankan oleh peperiksaan SCS-C02 untuk membendung pelanggaran.

Kawalan egress menghalang hos yang telah terjejas daripada mencapai infrastruktur penyerang. Oleh sebab kumpulan keselamatan dan NACL hanya menapis berdasarkan IP dan port, gunakan senarai Allow atau Deny Domain Network Firewall dengan memadankan TLS SNI dan Host HTTP tanpa penyahsulitan. Ini menyekat isyarat arahan dan kawalan serta penghantaran keluar data. Pusatkan egress melalui VPC pemeriksaan, letakkan tembok api sebelum NAT dan logkan semua keputusan.