Kombinera båda för defense in depth

Djupförsvar innebär att du staplar oberoende kontroller så att ett fel eller en lucka i en kontroll inte exponerar arbetsbelastningen. I en VPC är säkerhetsgrupper och nätverks-ACL:er två sådana lager, som tillsammans med routningstabeller, WAF och Network Firewall bildar överlappande barriärer runt dina resurser.

Säkerhetsgrupper ger detaljerad, tillståndskänslig kontroll per resurs med regler som endast tillåter trafik. NACL:er ger grovkornig, tillståndslös kontroll för hela subnät med både tillåtelse och nekande. Genom att använda dem tillsammans kan du ange en bred baslinje för subnätet och samtidigt finjustera varje resurs.

För att inkommande trafik ska nå en instans måste både NACL:en och säkerhetsgruppen tillåta den. Ett nekande i något av lagren släpper inte igenom paketet. Denna OCH-logik innebär att en restriktiv NACL fungerar som ett skyddsnät även om en alltför tillåtande säkerhetsgrupp skapas av misstag.

Använd NACL:er för att upprätthålla skyddsräcken på subnätsnivå som ingen resursägare kan kringgå, till exempel att neka ett känt skadligt CIDR eller blockera trafik mellan lager som aldrig ska kommunicera. Eftersom NACL:er är grovkorniga bör du hålla dessa regler breda och stabila.

Använd säkerhetsgrupper för de dagliga reglerna enligt principen om minsta behörighet: öppna port 443 på webblagret, tillåt applagret att nå databasen och referera till grupper i stället för IP-adresser. Det är här merparten av din nätverkspolicy finns, eftersom den är detaljerad och tillståndskänslig.

En klassisk skiktad design placerar offentliga, privata app- och privata databasubnät i separata lager. NACL:er hindrar dataubnätet från att kommunicera direkt med internet, medan säkerhetsgrupper kedjar ihop webb, app och databas. En angripare som tar sig in i ett lager möter fortfarande båda kontrollerna i nästa.

Skiktning minskar spridningsområdet vid ett intrång. Om en appserver angrips hindrar strama säkerhetsgrupper den från att skanna datalagret, och NACL:er stoppar lateral förflyttning i hela subnätet. Angriparen begränsas i stället för att kunna röra sig fritt i VPC:n.

Bekräfta att dina skiktade regler faktiskt fungerar genom att analysera VPC Flow Logs. Poster med avvisanden visar blockerade försök, medan oväntade tillåtelser avslöjar luckor. Kombinera Flow Logs med Athena-frågor för att granska om trafiken mellan lagren följer den avsedda designen.

Eftersom NACL:er är tillståndslösa och som standard begränsade till 20 regler per riktning bör ni inte försöka uttrycka detaljerade policyer i dem. Om NACL:er överbelastas uppstår problem med temporära portar och en stor mängd regelnummer. Håll dem enkla och låt säkerhetsgrupperna hantera detaljerna.

Säkerhetsgrupper och NACL:er filtrerar endast på IP, port och protokoll. För att inspektera HTTP-innehåll, blockera SQL-injektioner eller filtrera efter domän behöver ni lägga till högre lager: WAF för webbförfrågningar och AWS Network Firewall för djupgående paketinspektion. Båda behandlas senare i denna kategori.

En mogen VPC använder lager med routningstabeller, NACL:er, säkerhetsgrupper, Network Firewall och WAF, där varje komponent fångar upp sådant de andra missar. SCS-C02-provet belönar er som väljer rätt kontroll i rätt lager och kombinerar dem i stället för att förlita er på en enda komponent.

Defense in depth kombinerar NACL:er och säkerhetsgrupper, så att en brist i den ena fångas upp av den andra. Båda måste tillåta inkommande trafik för att den ska passera, vilket gör en restriktiv NACL till en extra skyddsåtgärd. Använd NACL:er för övergripande skyddsräcken på subnätsnivå och säkerhetsgrupper för finkornig minsta behörighet per resurs. Verifiera med Flow Logs, håll NACL:er enkla och lägg till WAF eller Network Firewall för innehållsmedveten filtrering.