Łączenie obu mechanizmów w obronie warstwowej

Obrona warstwowa oznacza łączenie niezależnych mechanizmów kontroli, tak aby awaria lub luka w jednym z nich nie wystawiła obciążenia na zagrożenie. W VPC security groups i network ACL są dwiema takimi warstwami, uzupełnianymi przez route tables, WAF i Network Firewall, które razem tworzą nakładające się bariery wokół zasobów.

Security groups zapewniają precyzyjną, stanową kontrolę dla poszczególnych zasobów za pomocą reguł działających wyłącznie na zasadzie allow. NACL zapewniają zgrubną, bezstanową kontrolę obejmującą całą podsieć za pomocą reguł allow i deny. Używanie ich razem pozwala ustawić ogólną bazę zabezpieczeń podsieci, a jednocześnie precyzyjnie dostosować dostęp dla każdego zasobu.

Aby ruch przychodzący dotarł do instancji, zarówno NACL, jak i security group muszą na niego zezwolić. Odrzucenie na dowolnej warstwie powoduje odrzucenie pakietu. Ta logika AND oznacza, że restrykcyjna NACL stanowi dodatkowe zabezpieczenie nawet wtedy, gdy przez pomyłkę zostanie utworzona zbyt liberalna security group.

Używaj NACL do egzekwowania zabezpieczeń na poziomie podsieci, których żaden właściciel zasobu nie może obejść, na przykład do odrzucania znanego złośliwego CIDR lub blokowania ruchu między warstwami, które nie powinny się ze sobą komunikować. Ponieważ NACL zapewniają kontrolę zgrubną, reguły powinny być szerokie i stabilne.

Używaj security groups do definiowania codziennych reguł zgodnych z zasadą najmniejszych uprawnień: otwórz port 443 dla warstwy internetowej, zezwól warstwie aplikacji na dostęp do bazy danych i odwołuj się do grup zamiast do adresów IP. Większość zasad sieciowych jest definiowana właśnie tutaj, ponieważ security groups są precyzyjne i stanowe.

Klasyczny projekt warstwowy umieszcza publiczne, prywatne aplikacyjne i prywatne dane podsieci w oddzielnych warstwach. NACL uniemożliwiają podsieci danych bezpośrednią komunikację z internetem, a security groups tworzą łańcuch od warstwy internetowej przez aplikacyjną do bazy danych. Nawet jeśli napastnik włamie się do jednej warstwy, na kolejnej nadal napotka oba mechanizmy kontroli.

Warstwowanie zmniejsza zasięg skutków włamania. Jeśli serwer aplikacji zostanie zaatakowany, restrykcyjne security groups uniemożliwią mu skanowanie warstwy danych, a NACL powstrzymają przemieszczanie się w poprzek całej podsieci. Napastnik zostaje odizolowany, zamiast zyskać swobodę poruszania się po VPC.

Potwierdź, że warstwowe reguły rzeczywiście działają zgodnie z założeniami, analizując VPC Flow Logs. Wpisy reject ujawniają zablokowane próby, a nieoczekiwane wpisy accept wskazują luki. Połącz Flow Logs z zapytaniami Athena, aby skontrolować, czy ruch między warstwami odpowiada zamierzonemu projektowi.

Ponieważ listy NACL są bezstanowe i domyślnie ograniczone do 20 reguł w każdym kierunku, nie należy próbować wyrażać w nich szczegółowych zasad. Nadmierne obciążanie list NACL powoduje problemy z portami efemerycznymi i niekontrolowany rozrost numerów reguł. Należy zachować ich prostotę, a szczegóły powierzyć grupom zabezpieczeń.

Grupy zabezpieczeń i listy NACL filtrują wyłącznie według adresu IP, portu i protokołu. Aby analizować zawartość HTTP, blokować SQL injection lub filtrować według domeny, należy dodać wyższe warstwy: WAF dla żądań internetowych oraz AWS Network Firewall do głębokiej inspekcji pakietów. Oba rozwiązania zostaną omówione w dalszej części tej kategorii.

Dojrzała sieć VPC łączy tabele routingu, listy NACL, grupy zabezpieczeń, Network Firewall i WAF, z których każde rozwiązanie wykrywa problemy pomijane przez pozostałe. Egzamin SCS-C02 sprawdza umiejętność wyboru właściwego mechanizmu na właściwej warstwie oraz łączenia mechanizmów zamiast polegania na jednym z nich.

Przeanalizuj działanie mechanizmów warstwowych.

Obrona w głąb łączy listy NACL i grupy zabezpieczeń, dzięki czemu luka w jednym mechanizmie zostaje wykryta przez drugi. Oba mechanizmy muszą zezwalać na ruch przychodzący, aby mógł on przejść, dlatego restrykcyjna lista NACL stanowi dodatkowe zabezpieczenie. List NACL należy używać do definiowania ogólnych ograniczeń dla podsieci, a grup zabezpieczeń do zapewniania precyzyjnego dostępu o minimalnych uprawnieniach dla poszczególnych zasobów. Należy weryfikować działanie za pomocą dzienników przepływu, zachować prostotę list NACL oraz dodawać WAF lub Network Firewall do filtrowania uwzględniającego zawartość.