Sikkerhetsgrupper og NACL-er

Security Groups har regler som angir hvilken trafikk som kan nå instansene dine (innkommende), og hvilken trafikk instansene dine kan sende ut (utgående).

• Innkommende regler: Angir hvilken trafikk som kan komme inn i instansen.
• Utgående regler: Angir hvilken trafikk som kan forlate instansen.

Som standard er utgående trafikk vanligvis tillatt, mens innkommende trafikk nektes.

En viktig egenskap ved Security Groups er at de er stateful.

Det betyr at hvis du tillater en innkommende forespørsel (for eksempel en webforespørsel til serveren din), tillater Security Group automatisk det tilhørende utgående svaret tilbake, selv om det ikke finnes en uttrykkelig utgående regel for det.

Den husker tilstanden til forbindelsen.

En Network Access Control List (NACL) fungerer som en virtuell brannmur for subnettene dine. Den kontrollerer trafikk som går inn i og ut av hele subnettet.

I motsetning til Security Groups brukes NACL-er på subnett, noe som betyr at alle instanser i subnettet er underlagt reglene.

NACL-er har nummererte regler som evalueres i rekkefølge, fra lavest til høyest. Når en regel samsvarer med trafikken, brukes den, og ingen flere regler evalueres.

NACL-er kan uttrykkelig tillate eller nekte trafikk. Alle NACL-er har også en standardregel som nekter trafikk (*) til slutt, for å fange opp trafikk som ikke samsvarer med noen annen regel.

En annen viktig forskjell er at NACL-er er stateless.

Hvis du tillater innkommende trafikk, MÅ du uttrykkelig opprette en separat utgående regel som tillater returtrafikken. Hvis du ikke gjør det, blir svaret blokkert.

Det betyr at du trenger regler for begge retninger for enhver forbindelse.

• Omfang: SG for instanser, NACL for subnett.
• Tilstand: SG er stateful, NACL er stateless.
• Regler: SG tillater bare trafikk, mens NACL-er både tillater og nekter trafikk.
• Evaluering: SG evaluerer alle regler, mens NACL evaluerer etter regelnummer (lavest først).
• Standard: SG nekter innkommende trafikk og tillater utgående trafikk. NACL tillater alt som standard, og nekter deretter alt med *-regelen.

Det er anbefalt å bruke både Security Groups og NACL-er sammen for sikkerhet i flere lag:

• Bruk NACL-er til å filtrere trafikk overordnet ved subnettgrensen, og blokkere kjente ondsinnede IP-adresser eller portområder.
• Bruk Security Groups til å gi detaljert kontroll over bestemte instanser, slik at bare nødvendig trafikk får nå dem.

Dette gir en robust strategi med flere forsvarslag.

Flott jobbet! Du har lært om to grunnleggende sikkerhetsverktøy for AWS-nettverk:

• Security Groups: Stateful-brannmurer for instanser som tillater spesifikk innkommende og utgående trafikk.
• Network ACLs (NACLs): Stateless-brannmurer for subnett som tillater eller nekter trafikk basert på rekkefølgen på reglene.

Ved å forstå disse kan du bygge et sterkt forsvar i flere lag for AWS-ressursene dine. Deretter skal vi se nærmere på IAM Roles og Policies for detaljert tilgangskontroll.