Como os Grupos de Segurança Filtram o Tráfego

Um grupo de segurança (SG) é um firewall virtual conectado diretamente a uma interface de rede elástica (ENI) em um recurso, como uma instância do EC2, um banco de dados do RDS ou um balanceador de carga. Ele controla o tráfego de entrada e de saída no nível do recurso, e não no limite da rede; por isso, duas instâncias na mesma sub-rede podem ter regras muito diferentes.

Os grupos de segurança contêm somente regras de permissão. Não há como escrever uma negação explícita. Todo tráfego que não corresponde a uma regra de permissão é simplesmente descartado. Isso significa que você cria o acesso adicionando as permissões desejadas, enquanto o padrão implícito é bloquear todo o restante.

Um grupo de segurança recém-criado nega todo o tráfego de entrada e permite todo o tráfego de saída. Você abre o acesso de entrada deliberadamente, porta por porta, enquanto a saída permanece totalmente aberta, a menos que você a restrinja. Situações de exame frequentemente dependem de lembrar que a saída é permissiva por padrão.

Cada regra define um protocolo (TCP, UDP, ICMP), um intervalo de portas e uma origem (para entrada) ou um destino (para saída). A origem pode ser um bloco CIDR, como 10.0.0.0/16, ou o ID de outro grupo de segurança, permitindo referenciar grupos em vez de IPs fixos.

Definir a origem como o ID de outro grupo de segurança cria um acesso dinâmico baseado em identidade. Por exemplo, um SG de banco de dados pode permitir a porta 5432 somente a partir do SG da camada de aplicação. À medida que os servidores da aplicação aumentam ou diminuem, não é necessário editar IPs, pois o acesso é controlado pela associação ao grupo referenciado.

Os grupos de segurança têm estado. Quando você permite uma solicitação de entrada, a resposta é automaticamente permitida na saída, independentemente das regras de saída, e vice-versa. A conexão é acompanhada, portanto você nunca precisa escrever uma regra de retorno correspondente. Essa é a maior diferença de comportamento em relação às ACLs de rede.

Uma única ENI pode ter vários grupos de segurança associados ao mesmo tempo. Suas regras são combinadas como uma união: se qualquer grupo associado permitir o tráfego, ele será permitido. Não há ordenação nem prioridade de regras; portanto, não é possível usar um grupo para substituir outro com uma negação.

Aplique o princípio do menor privilégio abrindo apenas as portas exatas de que cada camada precisa. Uma camada web pode permitir a porta 443 a partir da internet; uma camada de aplicação permite a porta 8080 somente a partir do SG da web; uma camada de dados permite a porta 3306 somente a partir do SG da aplicação. Esse encadeamento em camadas limita a movimentação lateral após uma violação.

A configuração incorreta mais perigosa é permitir 0.0.0.0/0 na porta 22 ou 3389, expondo SSH ou RDP à internet inteira. O GuardDuty e o Security Hub sinalizam isso. Prefira não ter portas administrativas de entrada, usando o Session Manager, que é abordado no curso de SSM.

Os grupos de segurança não registram os pacotes permitidos ou negados. Para ver qual tráfego realmente fluiu, você depende dos registros de fluxo da VPC, que registram a decisão de aceitar ou rejeitar para cada conexão. Combine o design dos SGs com os registros de fluxo para verificar se suas regras funcionam conforme o planejado.

Os grupos de segurança são sua primeira e mais granular linha de defesa de rede dentro de uma VPC, operando no nível da instância. Eles complementam as ACLs de rede que abrangem toda a sub-rede e ferramentas da camada de aplicação, como o WAF. Dominar seu comportamento com estado, baseado apenas em permissões e de união é essencial para o exame SCS-C02.

Teste seu domínio do comportamento dos grupos de segurança.

Os grupos de segurança são firewalls virtuais com estado e baseados apenas em permissões, associados à ENI do recurso. Grupos novos negam toda entrada e permitem toda saída. As regras especificam o protocolo, a porta e uma origem, que pode ser um CIDR ou o ID de outro grupo. Vários grupos se combinam como uma união, sem negações nem ordenação. Evite portas administrativas abertas e use os registros de fluxo para observar o tráfego, pois os SGs não registram eventos.