Совместное применение для эшелонированной защиты

Многоуровневая защита означает объединение независимых механизмов, чтобы сбой или пробел в одном из них не раскрыл рабочую нагрузку. В VPC такими уровнями являются группы безопасности и сетевые списки управления доступом; вместе с таблицами маршрутизации, WAF и сетевым брандмауэром они образуют перекрывающиеся барьеры вокруг ресурсов.

Группы безопасности обеспечивают точное, привязанное к ресурсу управление с отслеживанием состояния и правилами только на разрешение. NACL обеспечивают грубое управление для всей подсети без отслеживания состояния и поддерживают как разрешение, так и запрет. Совместное использование позволяет задать общий базовый уровень для подсети и точно настроить каждый ресурс.

Чтобы входящий трафик достиг экземпляра, его должны разрешить и NACL, и группа безопасности. Запрет на любом уровне отбрасывает пакет. Эта логика AND означает, что строгий NACL служит дополнительной защитой, даже если группа безопасности по ошибке настроена слишком разрешающе.

Используйте NACL для задания ограничений на уровне подсети, которые не может обойти владелец ресурса, например для запрета известного вредоносного CIDR или блокировки трафика между уровнями, которым не следует взаимодействовать. Поскольку NACL являются грубым инструментом, делайте такие правила общими и стабильными.

Используйте группы безопасности для повседневных правил наименьших привилегий: откройте порт 443 на веб-уровне, разрешите прикладному уровню обращаться к базе данных и ссылайтесь на группы вместо IP-адресов. Здесь сосредоточена большая часть сетевой политики, поскольку этот механизм точен и отслеживает состояние.

Классическая многоуровневая архитектура размещает общедоступные подсети, подсети для частных приложений и подсети для частных данных на отдельных уровнях. NACL не позволяют подсети данных напрямую взаимодействовать с интернетом, а группы безопасности выстраивают цепочку «веб-уровень — приложение — база данных». Даже после взлома одного уровня злоумышленник сталкивается с обоими механизмами на следующем.

Многоуровневая защита уменьшает радиус поражения при компрометации. Если сервер приложения взломан, строгие группы безопасности не дают ему сканировать уровень данных, а NACL останавливают боковое перемещение по всей подсети. Злоумышленник оказывается изолированным, а не получает свободу перемещения по VPC.

Проверяйте фактическую работу многоуровневых правил с помощью анализа журналов потоков VPC. Записи об отклонениях показывают заблокированные попытки, а неожиданные разрешения выявляют пробелы. Используйте журналы потоков вместе с запросами Athena, чтобы проверить соответствие трафика между уровнями задуманной архитектуре.

Поскольку NACLs не отслеживают состояние соединений и по умолчанию ограничены 20 правилами для каждого направления, не пытайтесь выражать в них детализированную политику. Перегруженные NACLs создают проблемы с эфемерными портами и разрастанием номеров правил. Делайте их простыми, а детализацию возлагайте на группы безопасности.

Группы безопасности и NACLs фильтруют только по IP, порту и протоколу. Чтобы проверять содержимое HTTP, блокировать SQL-инъекции или фильтровать по домену, добавьте более высокие уровни: WAF для веб-запросов и AWS Network Firewall для глубокой проверки пакетов. Оба средства будут рассмотрены далее в этой категории.

Зрелая VPC объединяет таблицы маршрутизации, NACLs, группы безопасности, Network Firewall и WAF, причём каждый компонент обнаруживает то, что пропускают остальные. На экзамене SCS-C02 важно выбрать подходящий механизм на нужном уровне и сочетать механизмы, а не полагаться только на один из них.

Многоуровневая защита объединяет NACLs и группы безопасности, поэтому пробел в одном механизме компенсируется другим. Для прохождения трафика оба механизма должны разрешать входящие соединения, поэтому ограничительный NACL служит дополнительным барьером. Используйте NACLs для грубых ограничений на уровне подсети, а группы безопасности — для точного принципа наименьших привилегий на уровне ресурсов. Проверяйте результаты с помощью журналов потоков, поддерживайте NACLs простыми, а для фильтрации с учётом содержимого добавляйте WAF или Network Firewall.