Как группы безопасности фильтруют трафик

Группа безопасности (SG) — это виртуальный сетевой экран, который напрямую подключается к эластичному сетевому интерфейсу (ENI) ресурса, например экземпляра EC2, базы данных RDS или балансировщика нагрузки. Она управляет входящим и исходящим трафиком на уровне ресурса, а не на границе сети, поэтому два экземпляра в одной подсети могут иметь совершенно разные правила.

Группы безопасности содержат только разрешающие правила. Явно запретить трафик невозможно. Любой трафик, не соответствующий разрешающему правилу, просто отбрасывается. Это означает, что доступ создаётся добавлением нужных разрешений, а неявное поведение по умолчанию — блокировать всё остальное.

Новая группа безопасности запрещает весь входящий трафик и разрешает весь исходящий трафик. Вы намеренно открываете входящий доступ, порт за портом, тогда как исходящий доступ остаётся полностью открытым, пока Вы его не ограничите. В экзаменационных сценариях часто важно помнить, что исходящий доступ по умолчанию разрешён.

Каждое правило определяет протокол (TCP, UDP, ICMP), диапазон портов и источник (для входящего трафика) или назначение (для исходящего). Источником может быть блок CIDR, например 10.0.0.0/16, или идентификатор другой группы безопасности, что позволяет ссылаться на группы вместо фиксированных IP-адресов.

Указание в качестве источника идентификатора другой группы безопасности создаёт динамический доступ на основе принадлежности к группе. Например, группа безопасности базы данных может разрешить порт 5432 только группе безопасности уровня приложения. При увеличении или уменьшении числа серверов приложения изменять IP-адреса не требуется, поскольку доступ определяется составом указанной группы.

Группы безопасности являются с отслеживанием состояния. Если Вы разрешаете входящий запрос, ответ автоматически разрешается в обратном направлении независимо от правил исходящего трафика, и наоборот. Подключение отслеживается, поэтому писать соответствующее правило для обратного трафика не нужно. Это главное поведенческое отличие от сетевых списков контроля доступа.

К одному ENI можно одновременно подключить несколько групп безопасности. Их правила объединяются: если хотя бы одна подключённая группа разрешает трафик, он разрешён. Порядка или приоритета правил нет, поэтому нельзя использовать одну группу, чтобы переопределить другую запретом.

Применяйте принцип наименьших привилегий, открывая только те порты, которые необходимы каждому уровню. Например, веб-уровень может разрешать порт 443 из интернета; прикладной уровень — порт 8080 только от веб-группы SG; уровень данных — порт 3306 только от прикладной группы SG. Такая последовательная схема уровней ограничивает боковое перемещение после взлома.

Самая опасная неправильная настройка — разрешить 0.0.0.0/0 для порта 22 или 3389, открыв SSH или RDP всему интернету. GuardDuty и Центр безопасности обнаруживают такие настройки. По возможности вообще не открывайте входящие административные порты, а вместо этого используйте Диспетчер сеансов, которому посвящён курс по SSM.

Сами группы безопасности не ведут журнал разрешённых или отклонённых пакетов. Чтобы увидеть, какой трафик действительно проходил, используйте журналы потоков VPC, в которых для каждого соединения записывается решение принять или отклонить его. Сочетайте проектирование SG с журналами потоков, чтобы проверять работу правил.

Группы безопасности — это первый и наиболее детальный уровень сетевой защиты внутри VPC, работающий на уровне экземпляров. Они дополняют сетевые списки управления доступом на уровне подсети и инструменты прикладного уровня, такие как WAF. Для экзамена SCS-C02 необходимо хорошо понимать их отслеживание состояния, поведение «только разрешить» и объединение правил.

Проверьте, насколько хорошо Вы понимаете поведение групп безопасности.

Группы безопасности — это отслеживающие состояние виртуальные брандмауэры, работающие только на разрешение и подключённые к ENI ресурса. Новые группы запрещают весь входящий и разрешают весь исходящий трафик. Правила задают протокол, порт и источник, которым может быть CIDR или ID другой группы. Несколько групп объединяются, и их правила действуют совместно: запретов и порядка приоритета нет. Не открывайте административные порты для всех и используйте журналы потоков для наблюдения за трафиком, поскольку SG не ведут журналирование.