Filtragem de Domínios e Controle de Saída

A maioria dos firewalls se concentra no tráfego de entrada, mas o controle de saída é essencial para a segurança. Cargas de trabalho comprometidas se comunicam com servidores de atacantes para receber comandos ou exfiltrar dados. Restringir os destinos que seus recursos podem acessar interrompe esse caminho e limita os danos de uma violação.

Os grupos de segurança e as NACLs podem restringir o tráfego de saída somente por IP e porta, não por domínio. Como a infraestrutura dos atacantes usa IPs rotativos e hosts de nuvem compartilhados, as regras de saída baseadas em IP são frágeis. A filtragem baseada em domínio do Network Firewall resolve isso controlando os destinos pelo nome.

Uma lista de permissões de domínios permite tráfego de saída somente para domínios aprovados, como seus repositórios de software, endpoints de serviços da AWS e APIs de parceiros, bloqueando todo o restante. Essa postura de negar por padrão significa que até mesmo um host comprometido não consegue acessar servidores desconhecidos de comando e controle.

Uma lista de bloqueio de domínios adota a abordagem oposta: bloqueia domínios conhecidos como maliciosos ou indesejados e permite os demais. As listas de permissões são mais fortes em ambientes de alta segurança, enquanto as listas de bloqueio são adequadas para cargas de trabalho menos restritivas, nas quais bloquear tudo seria impraticável.

O Network Firewall inspeciona o TLS SNI (Server Name Indication) para HTTPS e o cabeçalho Host do HTTP para texto não criptografado, determinando o domínio de destino. Como o SNI é enviado sem criptografia durante o handshake do TLS, o firewall pode filtrar HTTPS por domínio sem descriptografar o tráfego.

A filtragem de saída combate diretamente a exfiltração de dados. Se um atacante tentar enviar dados roubados para um serviço de armazenamento em nuvem ou site de compartilhamento de texto não aprovado, a regra de domínio bloqueará a conexão. Com o registro de logs, você também recebe um alerta de que ocorreu uma tentativa, o que ajuda na detecção.

Os malwares normalmente enviam sinais para domínios de comando e controle (C2) para receber instruções. Uma lista de permissões de saída estrita interrompe esse ciclo porque o domínio de C2 não está na lista, neutralizando muitas famílias de malware mesmo após a infecção inicial. Esse é um controle essencial de contenção.

Em ambientes com várias VPCs, roteie todo o tráfego de saída por uma VPC central de inspeção que execute o Network Firewall por meio de um gateway de trânsito. Assim, uma única política de saída governará todas as cargas de trabalho, e um único conjunto de regras de domínio será aplicado de forma consistente em toda a organização, simplificando a segurança e a auditoria.

A filtragem de saída normalmente fica junto a um gateway NAT no caminho de saída. O tráfego flui das sub-redes privadas pelo firewall, depois pelo NAT e então para a internet. As tabelas de rotas devem enviar o tráfego pelo endpoint do firewall antes do NAT, para que cada conexão de saída seja inspecionada.

Envie os logs de alertas e de fluxo do Network Firewall para seu pipeline de logs, para que você veja quais tentativas de saída foram bloqueadas e quais domínios as cargas de trabalho acessam. Domínios bloqueados inesperados podem revelar uma violação, enquanto a lista de permissões ajuda a dimensionar corretamente e reforçar a política ao longo do tempo.

Uma segurança de saída eficaz combina listas de permissões de domínios, ordenação estrita com descarte padrão, inspeção centralizada e registro detalhado de logs. Isso transforma o tráfego de saída de uma porta aberta em um canal rigorosamente governado e observável, um controle que o exame SCS-C02 enfatiza para conter violações.

Aplique o raciocínio da filtragem de saída.

O controle de saída impede que hosts comprometidos acessem a infraestrutura dos atacantes. Como os grupos de segurança e as NACLs filtram somente por IP e porta, use listas de permissões ou de bloqueio de domínios no Network Firewall, identificando o TLS SNI e o Host do HTTP sem descriptografar o tráfego. Isso bloqueia sinais de comando e controle e a exfiltração de dados. Centralize a saída por uma VPC de inspeção, coloque o firewall antes do NAT e registre todas as decisões.