Grupy zabezpieczeń i pary kluczy

Security group to wirtualna zapora stanowa, która kontroluje ruch przychodzący do instancji EC2 i wychodzący z niej (lub z innych zasobów AWS, takich jak RDS, Lambda czy ELB). Security groups działają na poziomie instancji — każda reguła określa protokół (TCP/UDP/ICMP), zakres portów oraz źródło lub miejsce docelowe (zakres adresów IP albo inna security group). W przeciwieństwie do tradycyjnych zapór security groups są stanowe: jeśli zezwolą Państwo na ruch przychodzący, ruch będący odpowiedzią jest automatycznie dozwolony wychodząco bez jawnej reguły.

Security groups mają oddzielne zestawy reguł inbound i outbound. Reguły inbound kontrolują ruch docierający do instancji — domyślnie cały ruch przychodzący jest odrzucany. Reguły outbound kontrolują ruch opuszczający instancję — domyślnie cały ruch wychodzący jest dozwolony. Dodają Państwo jawne reguły Allow; security groups nie obsługują jawnych reguł Deny (do jawnego odrzucania ruchu należy używać Network ACLs). Wszystkie reguły w security group są oceniane łącznie z użyciem logicznego OR — dowolna pasująca reguła Allow zezwala na ruch.

Security groups obsługują odwołania do security group jako źródła lub miejsca docelowego, co jest bardziej elastyczne i bezpieczniejsze niż określanie zakresów adresów IP. Na przykład security group ALB zezwala na ruch z 0.0.0.0/0 na porcie 443. Security group instancji EC2 zezwala na ruch przychodzący na porcie 8080 wyłącznie z identyfikatora security group ALB — a nie z dowolnego adresu IP. Jeśli ALB zostanie zastąpiony lub przeskaluje się, reguła nadal będzie działać poprawnie bez zmiany adresów IP. Ten wzorzec tworzy warstwową, dynamiczną ochronę architektur wielowarstwowych.

Stanowość oznacza, że security group śledzi stan połączenia. Jeśli reguła inbound zezwala na ruch TCP na porcie 80 z Internetu, a klient wysyła żądanie, pakiety odpowiedzi (outbound) są automatycznie dozwolone z powrotem do klienta — nawet jeśli nie istnieje reguła outbound dla portu 80. Różni się to zasadniczo od Network ACLs, które są bezstanowe i wymagają jawnych reguł dla obu kierunków ruchu. Stanowość ułatwia konfigurowanie security groups dla typowych wzorców ruchu aplikacji.

Do jednej instancji EC2 można przypisać wiele security groups (domyślnie maksymalnie 5; limit można zmienić). Reguły ze wszystkich przypisanych security groups są łączone za pomocą sumy logicznej (logika OR) — jeśli dowolna security group zezwala na żądanie, żądanie zostaje dopuszczone. Oznacza to, że security groups mogą jedynie dodawać uprawnienia, a nigdy ich ograniczać — aby zaostrzyć dostęp, należy usunąć lub zmodyfikować reguły, a nie dodawać bardziej restrykcyjną security group. Należy pamiętać o tym addytywnym działaniu w pytaniach egzaminacyjnych dotyczących ograniczania dostępu.

Każda VPC zawiera default security group. Jej domyślne reguły są następujące: inbound zezwala na cały ruch z innych instancji znajdujących się również w default security group, a outbound zezwala na cały ruch do dowolnego miejsca. Jest to celowo liberalna konfiguracja, dzięki której nowe instancje mogą domyślnie się komunikować. W środowiskach produkcyjnych należy utworzyć niestandardową security group z restrykcyjnym zestawem reguł inbound oraz usunąć powiązania instancji z default security group, aby uniknąć przypadkowego ujawnienia.

Key pairs EC2 wykorzystują kryptografię asymetryczną do uwierzytelniania SSH. AWS generuje parę kluczy (można też zaimportować własny klucz publiczny): AWS przechowuje klucz publiczny i wstrzykuje go do instancji podczas uruchamiania; użytkownik pobiera i przechowuje klucz prywatny (plik .pem) — AWS nigdy go nie przechowuje. SSH używa klucza prywatnego do potwierdzenia tożsamości użytkownika wobec serwera bez przesyłania hasła. Klucz prywatny musi mieć restrykcyjne uprawnienia (chmod 400), w przeciwnym razie SSH odmówi jego użycia.

Jeśli utracą Państwo klucz prywatny do instancji Linux EC2, nie będzie można zalogować się przez SSH w standardowy sposób. Dostępne opcje odzyskiwania obejmują: Systems Manager Session Manager (jeśli działa agent SSM i przypisana jest rola IAM — klucz nie jest potrzebny), EC2 Instance Connect (wstrzykuje tymczasowy klucz za pośrednictwem przeglądarki lub CLI — wymaga otwartego portu SSH i uprawnień EIC) albo zatrzymanie instancji, odłączenie głównego woluminu EBS, podłączenie go do innej instancji, zmodyfikowanie pliku authorized_keys, ponowne podłączenie i uruchomienie instancji. W przypadku systemu Windows należy użyć Systems Manager do pobrania hasła.

Pozostawienie SSH (portu 22) otwartego dla 0.0.0.0/0 naraża instancję na ataki brute force i credential stuffing z dowolnego miejsca w Internecie. Dobre praktyki obejmują ograniczenie SSH do konkretnego zakresu adresów IP firmowych lub użycie hosta bastionowego (jump box) w publicznej podsieci, z ściśle kontrolowaną security group, a następnie łączenie się przez SSH z bastiona z prywatnymi instancjami. Jeszcze lepszym rozwiązaniem jest użycie Systems Manager Session Manager, aby całkowicie wyeliminować ekspozycję portu SSH — nie są wtedy potrzebne żadne reguły inbound.

Najważniejsze domyślne limity security groups (które można zmienić za pośrednictwem Service Quotas) to: maksymalnie 2500 security groups na VPC, 60 reguł inbound i 60 reguł outbound na security group oraz 5 security groups na interfejs sieciowy. W przypadku wskazania innej security group jako źródła każda kombinacja wskazanej security group i reguły jest liczona jako jedna reguła. Po osiągnięciu limitów reguł można je skonsolidować, wskazując identyfikatory security groups zamiast pojedynczych zakresów adresów IP, albo użyć prefix lists do zgrupowania wielu CIDR-ów w jeden łatwy do zarządzania obiekt.

Managed prefix list to zestaw bloków CIDR, do którego można odwoływać się w regułach security groups lub tabelach routingu. AWS utrzymuje AWS-managed prefix lists dla usług takich jak S3 i CloudFront, dzięki czemu można zezwalać na ruch do tych usług i z nich bez samodzielnego utrzymywania zakresów adresów IP (które z czasem się zmieniają). Można także tworzyć customer-managed prefix lists w celu grupowania firmowych zakresów adresów IP — aktualizacja prefix list w jednym miejscu powoduje automatyczne zastosowanie zmiany we wszystkich odwołujących się do niej security groups.

Sprawdź swoją znajomość zagadnień AWS Solutions Architect (SAA-C03) omówionych w tej lekcji.

W tej lekcji dowiedział się Pan / dowiedziała się Pani, że: security groups to stanowe wirtualne zapory, które domyślnie odrzucają ruch, łączenie security groups za pomocą identyfikatorów jest bezpieczniejsze i bardziej elastyczne niż używanie zakresów adresów IP, a key pairs zapewniają asymetryczne uwierzytelnianie SSH, natomiast Systems Manager Session Manager eliminuje potrzebę otwierania portów SSH. W następnej części omówimy opcje pamięci masowej EC2: Instance Store i EBS.