Cara Kumpulan Keselamatan Menapis Trafik

kumpulan keselamatan (SG) ialah tembok api maya yang dilampirkan terus pada antara muka rangkaian elastik (ENI) pada sumber seperti tika EC2, pangkalan data RDS atau pengimbang beban. Ia mengawal trafik masuk dan keluar pada peringkat sumber, bukannya pada sempadan rangkaian, jadi dua tika dalam subnet yang sama boleh mempunyai peraturan yang sangat berbeza.

Kumpulan keselamatan mengandungi peraturan benarkan sahaja. Tiada cara untuk menulis penolakan eksplisit. Sebarang trafik yang tidak sepadan dengan peraturan benarkan akan digugurkan begitu sahaja. Ini bermakna anda membina akses dengan menambah kebenaran yang dikehendaki, manakala lalai tersiratnya ialah menyekat segala-galanya yang lain.

Kumpulan keselamatan yang baharu dibuat menolak semua trafik masuk dan membenarkan semua trafik keluar. Anda membuka akses masuk dengan sengaja, port demi port, manakala trafik keluar kekal terbuka luas melainkan anda mengetatkannya. Soalan peperiksaan sering bergantung pada ingatan bahawa trafik keluar dibenarkan secara lalai.

Setiap peraturan mentakrifkan protokol (TCP, UDP, ICMP), julat port dan sumber (untuk trafik masuk) atau destinasi (untuk trafik keluar). Sumber boleh berupa blok CIDR seperti 10.0.0.0/16 atau ID kumpulan keselamatan yang lain, membolehkan anda merujuk kumpulan dan bukannya IP tetap.

Menetapkan sumber kepada ID kumpulan keselamatan yang lain mencipta akses dinamik berasaskan identiti. Contohnya, SG pangkalan data boleh membenarkan port 5432 hanya daripada SG lapisan aplikasi. Apabila pelayan aplikasi ditambah atau dikurangkan, tiada pengeditan IP diperlukan kerana keahlian dalam kumpulan yang dirujuk menentukan akses.

Kumpulan keselamatan bersifat berkeadaan. Apabila anda membenarkan permintaan masuk, responsnya dibenarkan keluar secara automatik tanpa mengira peraturan keluar, dan begitu juga sebaliknya. Sambungan dijejaki, jadi anda tidak perlu menulis peraturan balasan yang sepadan. Inilah perbezaan tingkah laku terbesar berbanding senarai kawalan akses rangkaian.

Satu ENI boleh mempunyai beberapa kumpulan keselamatan yang dilampirkan serentak. Peraturannya digabungkan sebagai kesatuan: jika mana-mana kumpulan yang dilampirkan membenarkan trafik tersebut, trafik itu dibenarkan. Tiada susunan atau keutamaan peraturan, jadi anda tidak boleh menggunakan satu kumpulan untuk mengatasi kumpulan lain dengan penolakan.

Gunakan keistimewaan minimum dengan membuka hanya port tepat yang diperlukan oleh setiap peringkat. Peringkat web mungkin membenarkan 443 daripada internet; peringkat aplikasi membenarkan 8080 hanya daripada SG web; peringkat data membenarkan 3306 hanya daripada SG aplikasi. Rantaian berperingkat ini mengehadkan pergerakan sisi selepas berlaku pencerobohan.

Salah konfigurasi yang paling berbahaya ialah membenarkan 0.0.0.0/0 pada port 22 atau 3389, lalu mendedahkan SSH atau RDP kepada seluruh internet. GuardDuty dan Hab Keselamatan akan menandakan keadaan ini. Sebaiknya jangan benarkan port pentadbiran masuk langsung; gunakan Pengurus Sesi, yang diterangkan dalam kursus SSM.

Kumpulan keselamatan itu sendiri tidak merekod paket yang dibenarkan atau ditolak. Untuk melihat trafik yang benar-benar mengalir, anda bergantung pada Log Aliran VPC, yang merekod keputusan terima atau tolak bagi setiap sambungan. Gabungkan reka bentuk SG dengan Log Aliran untuk mengesahkan bahawa peraturan anda berfungsi seperti yang dimaksudkan.

Kumpulan keselamatan ialah barisan pertahanan rangkaian pertama dan paling terperinci anda dalam VPC, yang berfungsi pada peringkat tika. Kumpulan ini melengkapi ACL rangkaian seluruh subnet dan alat pada lapisan aplikasi seperti WAF. Menguasai tingkah laku berkeadaan, hanya membenarkan, dan gabungan kesemuanya adalah penting untuk peperiksaan SCS-C02.

Kumpulan keselamatan ialah tembok api maya yang berkeadaan dan hanya membenarkan, serta dilampirkan pada ENI sumber. Kumpulan baharu menolak semua trafik masuk dan membenarkan semua trafik keluar. Peraturan menentukan protokol, port dan sumber yang boleh berupa CIDR atau ID kumpulan lain. Berbilang kumpulan bergabung sebagai kesatuan tanpa penolakan atau susunan keutamaan. Elakkan port pentadbiran yang terbuka, dan gunakan Log Aliran untuk memerhati trafik kerana SG tidak merekod log.