Jak Security Groups filtrują ruch

security group (SG) to wirtualna zapora dołączana bezpośrednio do elastycznego interfejsu sieciowego (ENI) zasobu, takiego jak instancja EC2, baza danych RDS lub load balancer. Kontroluje ruch przychodzący i wychodzący na poziomie zasobu, a nie na granicy sieci, dlatego dwie instancje w tej samej podsieci mogą mieć zupełnie różne reguły.

Grupy zabezpieczeń zawierają wyłącznie reguły zezwalające. Nie można zapisać jawnej reguły odmowy. Każdy ruch, który nie pasuje do reguły zezwalającej, jest po prostu odrzucany. Oznacza to, że dostęp buduje się przez dodawanie wybranych zezwoleń, a domyślnie blokowane jest wszystko inne.

Nowo utworzona grupa zabezpieczeń odrzuca cały ruch przychodzący i zezwala na cały ruch wychodzący. Dostęp przychodzący otwiera się świadomie, port po porcie, natomiast ruch wychodzący pozostaje w pełni dozwolony, dopóki nie zostanie ograniczony. Scenariusze egzaminacyjne często sprawdzają, czy pamięta się, że ruch wychodzący jest domyślnie dozwolony.

Każda reguła określa protokół (TCP, UDP, ICMP), zakres portów oraz źródło (dla ruchu przychodzącego) lub miejsce docelowe (dla ruchu wychodzącego). Źródłem może być blok CIDR, taki jak 10.0.0.0/16, lub identyfikator innej grupy zabezpieczeń, co pozwala odwoływać się do grup zamiast do stałych adresów IP.

Ustawienie źródła na identyfikator innej grupy zabezpieczeń tworzy dynamiczny dostęp oparty na tożsamości. Na przykład grupa zabezpieczeń bazy danych może zezwalać na port 5432 wyłącznie grupie zabezpieczeń warstwy aplikacji. Gdy liczba serwerów aplikacji rośnie lub maleje, nie trzeba zmieniać adresów IP, ponieważ dostęp zależy od członkostwa w grupie, do której następuje odwołanie.

Grupy zabezpieczeń są stanowe. Gdy zezwolisz na żądanie przychodzące, odpowiedź jest automatycznie dozwolona na wyjściu niezależnie od reguł ruchu wychodzącego — i odwrotnie. Połączenie jest śledzone, więc nie trzeba tworzyć pasującej reguły dla ruchu powrotnego. To najważniejsza różnica w działaniu względem sieciowych list kontroli dostępu.

Do jednego ENI można jednocześnie dołączyć kilka grup zabezpieczeń. Ich reguły są łączone sumą logiczną: jeśli dowolna dołączona grupa zezwala na ruch, jest on dozwolony. Nie ma kolejności ani priorytetów reguł, dlatego nie można użyć jednej grupy, aby nadpisać inną regułą odmowy.

Stosuj zasadę najmniejszych uprawnień, otwierając tylko dokładnie te porty, których potrzebuje każda warstwa. Warstwa internetowa może zezwalać na port 443 z internetu, warstwa aplikacji na port 8080 wyłącznie z web SG, a warstwa danych na port 3306 wyłącznie z app SG. Takie łańcuchowe zabezpieczenie warstw ogranicza możliwość przemieszczania się w poprzek sieci po włamaniu.

Najbardziej niebezpieczną błędną konfiguracją jest zezwolenie na 0.0.0.0/0 na porcie 22 lub 3389, co wystawia SSH lub RDP na działanie z całego internetu. GuardDuty i Security Hub zgłaszają takie przypadki. Najlepiej w ogóle nie otwierać przychodzących portów administracyjnych i zamiast tego używać Session Manager, który jest omawiany w kursie SSM.

Same security groups nie rejestrują dozwolonych ani odrzuconych pakietów. Aby sprawdzić, jaki ruch rzeczywiście przepływał, należy korzystać z VPC Flow Logs, które rejestrują decyzję o zaakceptowaniu lub odrzuceniu dla każdego połączenia. Połącz projekt SG z Flow Logs, aby zweryfikować, czy reguły działają zgodnie z założeniami.

Security groups to pierwsza i najbardziej szczegółowa warstwa ochrony sieci wewnątrz VPC, działająca na poziomie instancji. Uzupełniają sieciowe listy kontroli dostępu (network ACL) obejmujące całą podsieć oraz narzędzia działające na warstwie aplikacji, takie jak WAF. Opanowanie ich stanowego działania, zezwalania wyłącznie za pomocą reguł allow oraz łączenia reguł przez sumę jest niezbędne na egzaminie SCS-C02.

Sprawdź, jak dobrze rozumiesz działanie security groups.

Security groups to stanowe wirtualne zapory działające wyłącznie na zasadzie zezwalania, dołączane do interfejsu ENI zasobu. Nowe grupy odrzucają cały ruch przychodzący i zezwalają na cały ruch wychodzący. Reguły określają protokół, port oraz źródło, którym może być CIDR albo identyfikator innej grupy. Wiele grup łączy się przez sumę, bez reguł deny i bez kolejności oceny. Należy unikać otwartych portów administracyjnych i używać Flow Logs do obserwowania ruchu, ponieważ SG nie rejestrują zdarzeń.