Filtrowanie domen i kontrola egress

Większość zapór koncentruje się na ruchu przychodzącym, ale kontrola ruchu wychodzącego ma kluczowe znaczenie dla bezpieczeństwa. Zaatakowane obciążenia łączą się z serwerami atakujących, aby odbierać polecenia lub eksfiltrować dane. Ograniczenie miejsc docelowych, z którymi mogą łączyć się zasoby, odcina tę drogę i zmniejsza skutki włamania.

Grupy zabezpieczeń i NACL mogą ograniczać ruch wychodzący wyłącznie na podstawie adresu IP i portu, a nie domeny. Ponieważ infrastruktura atakujących korzysta ze zmiennych adresów IP i współdzielonych hostów w chmurze, reguły ruchu wychodzącego oparte na adresach IP są zawodne. Filtrowanie na podstawie domen w Network Firewall rozwiązuje ten problem, kontrolując miejsca docelowe na podstawie nazw.

Lista dozwolonych domen zezwala na ruch wychodzący wyłącznie do zatwierdzonych domen, takich jak repozytoria oprogramowania, punkty końcowe usług AWS i interfejsy API partnerów, blokując całą resztę. Taka zasada domyślnie odrzucająca ruch oznacza, że nawet zaatakowany host nie może połączyć się z nieznanymi serwerami sterującymi.

Lista blokowanych domen działa odwrotnie: blokuje znane złośliwe lub niepożądane domeny, a pozostałe przepuszcza. Listy dozwolonych domen zapewniają większe bezpieczeństwo w środowiskach o wysokich wymaganiach, natomiast listy blokowanych domen sprawdzają się w mniej restrykcyjnych obciążeniach, w których blokowanie wszystkiego byłoby niepraktyczne.

Network Firewall sprawdza TLS SNI (Server Name Indication) dla HTTPS oraz nagłówek Host protokołu HTTP dla ruchu jawnym tekstem, aby określić docelową domenę. Ponieważ SNI jest przesyłane jawnie podczas uzgadniania TLS, zapora może filtrować HTTPS na podstawie domeny bez odszyfrowywania ruchu.

Filtrowanie ruchu wychodzącego bezpośrednio przeciwdziała eksfiltracji danych. Jeśli atakujący spróbuje przesłać skradzione dane do niezatwierdzonej usługi przechowywania w chmurze lub witryny do wklejania tekstu, reguła domeny zablokuje połączenie. W połączeniu z rejestrowaniem otrzymają Państwo również alert o próbie, co ułatwia wykrywanie zagrożeń.

Złośliwe oprogramowanie zazwyczaj łączy się z domenami serwerów sterujących (C2), aby odbierać instrukcje. Ścisła lista dozwolonych połączeń wychodzących przerywa tę komunikację, ponieważ domeny C2 nie ma na liście, neutralizując wiele rodzin złośliwego oprogramowania nawet po początkowym zainfekowaniu. Jest to ważny mechanizm ograniczania skutków ataku.

W środowiskach z wieloma VPC należy kierować cały ruch wychodzący przez centralną VPC inspekcyjną z uruchomionym Network Firewall, korzystając z bramy tranzytowej. Jedna zasada ruchu wychodzącego będzie wtedy obowiązywać dla wszystkich obciążeń, a jeden zestaw reguł domen będzie konsekwentnie egzekwowany w całej organizacji, upraszczając bezpieczeństwo i audytowanie.

Filtrowanie ruchu wychodzącego zwykle działa razem z bramą NAT na ścieżce ruchu wychodzącego. Ruch przepływa z prywatnych podsieci przez zaporę, następnie przez NAT do Internetu. Tabele routingu muszą kierować ruch przez punkt końcowy zapory przed NAT, aby każde połączenie wychodzące było poddawane inspekcji.

Należy wysyłać logi alertów i przepływów Network Firewall do potoku logów, aby sprawdzać, które próby połączeń wychodzących zostały zablokowane i z jakimi domenami łączą się obciążenia. Nieoczekiwane zablokowane domeny mogą wskazywać na włamanie, a lista dozwolonych domen pomaga z czasem dopasowywać i zaostrzać zasady.

Skuteczne zabezpieczanie ruchu wychodzącego łączy listy dozwolonych domen, ścisłą kolejność z domyślnym odrzucaniem, centralną inspekcję i dokładne rejestrowanie. Dzięki temu ruch wychodzący przestaje być otwartymi drzwiami, a staje się ściśle zarządzanym i obserwowalnym kanałem — jest to mechanizm, na który egzamin SCS-C02 kładzie szczególny nacisk w kontekście ograniczania skutków włamań.

Proszę zastosować zasady rozumowania dotyczące filtrowania ruchu wychodzącego.

Kontrola ruchu wychodzącego uniemożliwia zaatakowanym hostom łączenie się z infrastrukturą atakujących. Ponieważ grupy zabezpieczeń i NACL filtrują wyłącznie na podstawie adresu IP i portu, należy używać w Network Firewall list dozwolonych lub blokowanych domen, dopasowując TLS SNI i HTTP Host bez odszyfrowywania ruchu. Blokuje to połączenia z serwerami sterującymi i eksfiltrację danych. Ruch wychodzący należy centralizować przez VPC inspekcyjną, umieścić zaporę przed NAT i rejestrować wszystkie decyzje.