การกรองโดเมนและการควบคุมขาออก

ไฟร์วอลล์ส่วนใหญ่มุ่งเน้นทราฟฟิกขาเข้า แต่การควบคุมทราฟฟิกขาออกมีความสำคัญอย่างยิ่งต่อความปลอดภัย เวิร์กโหลดที่ถูกบุกรุกอาจติดต่อเซิร์ฟเวอร์ของผู้โจมตีเพื่อรับคำสั่งหรือลักลอบนำข้อมูลออกไป การจำกัดปลายทางที่ทรัพยากรของคุณเข้าถึงได้จะตัดช่องทางนี้และจำกัดความเสียหายจากการถูกเจาะระบบ

กลุ่มความปลอดภัยและ NACL จำกัดทราฟฟิกขาออกได้เฉพาะตามIP และพอร์ต ไม่ใช่ตามโดเมน เนื่องจากโครงสร้างพื้นฐานของผู้โจมตีใช้ IP ที่หมุนเวียนและโฮสต์คลาวด์ร่วมกัน กฎทราฟฟิกขาออกตาม IP จึงเปราะบาง การกรองตามโดเมนใน Network Firewall แก้ปัญหานี้ด้วยการควบคุมปลายทางตามชื่อ

รายการโดเมนที่อนุญาตจะอนุญาตทราฟฟิกขาออกเฉพาะโดเมนที่ได้รับอนุมัติ เช่น ที่เก็บซอฟต์แวร์ ปลายทางบริการ AWS และ API ของคู่ค้า พร้อมบล็อกทุกอย่างที่เหลือ แนวทางปฏิเสธเป็นค่าเริ่มต้นนี้หมายความว่า แม้แต่โฮสต์ที่ถูกบุกรุกก็ไม่สามารถเข้าถึงเซิร์ฟเวอร์ควบคุมและสั่งการที่ไม่รู้จักได้

รายการโดเมนที่ปฏิเสธใช้แนวทางตรงกันข้าม คือบล็อกโดเมนที่ทราบว่าเป็นอันตรายหรือไม่ต้องการ ขณะเดียวกันยังอนุญาตโดเมนอื่น รายการที่อนุญาตมีความปลอดภัยสูงกว่าสำหรับสภาพแวดล้อมที่ต้องการความปลอดภัยระดับสูง ส่วนรายการที่ปฏิเสธเหมาะกับเวิร์กโหลดที่มีข้อจำกัดน้อยกว่า ซึ่งการบล็อกทุกอย่างอาจทำได้ยาก

Network Firewall ตรวจสอบTLS SNI (การระบุชื่อเซิร์ฟเวอร์)สำหรับ HTTPS และส่วนหัว Host ของ HTTPสำหรับทราฟฟิกข้อความธรรมดา เพื่อระบุโดเมนปลายทาง เนื่องจาก SNI ถูกส่งแบบอ่านได้ระหว่างการจับมือ TLS ไฟร์วอลล์จึงสามารถกรอง HTTPS ตามโดเมนได้โดยไม่ต้องถอดรหัสทราฟฟิก

การกรองทราฟฟิกขาออกต่อต้านการลักลอบนำข้อมูลออกได้โดยตรง หากผู้โจมตีพยายามอัปโหลดข้อมูลที่ขโมยมาไปยังพื้นที่จัดเก็บบนคลาวด์หรือเว็บไซต์วางข้อความที่ไม่ได้รับอนุญาต กฎโดเมนจะบล็อกการเชื่อมต่อดังกล่าว เมื่อใช้ร่วมกับการบันทึกล็อก คุณจะได้รับการแจ้งเตือนด้วยว่ามีความพยายามเกิดขึ้น ซึ่งช่วยในการตรวจจับ

โดยทั่วไปมัลแวร์จะส่งสัญญาณไปยังโดเมนควบคุมและสั่งการ (C2)เพื่อรับคำสั่ง รายการโดเมนที่อนุญาตอย่างเคร่งครัดจะตัดวงจรนี้ เพราะโดเมน C2 ไม่อยู่ในรายการ จึงหยุดมัลแวร์ได้หลายตระกูลแม้เกิดการติดเชื้อครั้งแรกแล้ว นี่คือกลไกสำคัญในการควบคุมเหตุการณ์

ในการตั้งค่าที่มีหลาย VPC ให้กำหนดเส้นทางทราฟฟิกขาออกทั้งหมดผ่าน VPC ตรวจสอบแบบรวมศูนย์ที่เรียกใช้ Network Firewall ผ่านเกตเวย์การส่งต่อทราฟฟิก จากนั้นนโยบายทราฟฟิกขาออกเพียงรายการเดียวจะควบคุมทุกเวิร์กโหลด และชุดกฎโดเมนชุดเดียวจะถูกบังคับใช้อย่างสอดคล้องกันทั่วทั้งองค์กร ทำให้ทั้งการรักษาความปลอดภัยและการตรวจสอบง่ายขึ้น

โดยทั่วไปการกรองทราฟฟิกขาออกจะอยู่ร่วมกับเกตเวย์ NATในเส้นทางขาออก ทราฟฟิกจะไหลจากซับเน็ตส่วนตัวผ่านไฟร์วอลล์ จากนั้นผ่าน NAT ไปยังอินเทอร์เน็ต ตารางเส้นทางต้องส่งทราฟฟิกผ่านปลายทางไฟร์วอลล์ก่อนถึง NAT เพื่อให้มีการตรวจสอบการเชื่อมต่อขาออกทุกครั้ง

ส่งล็อกการแจ้งเตือนและล็อกโฟลว์ของ Network Firewall ไปยังกระบวนการรวบรวมบันทึกของคุณ เพื่อดูว่าความพยายามเชื่อมต่อขาออกใดถูกบล็อก และเวิร์กโหลดติดต่อโดเมนใดบ้าง โดเมนที่ถูกบล็อกโดยไม่คาดคิดอาจบ่งชี้ถึงการถูกบุกรุก ขณะที่รายการที่อนุญาตช่วยให้คุณปรับขนาดและเพิ่มความเข้มงวดของนโยบายได้อย่างเหมาะสมเมื่อเวลาผ่านไป

การรักษาความปลอดภัยทราฟฟิกขาออกที่มีประสิทธิภาพประกอบด้วยรายการโดเมนที่อนุญาต ลำดับที่กำหนดอย่างเคร่งครัดโดยทิ้งเป็นค่าเริ่มต้น การตรวจสอบแบบรวมศูนย์ และการบันทึกล็อกอย่างละเอียด วิธีนี้เปลี่ยนทราฟฟิกขาออกจากประตูที่เปิดไว้ให้กลายเป็นช่องทางที่ควบคุมอย่างเข้มงวดและตรวจสอบได้ ซึ่งเป็นกลไกที่การสอบ SCS-C02 เน้นย้ำสำหรับควบคุมความเสียหายจากการถูกเจาะระบบ

การควบคุมทราฟฟิกขาออกหยุดโฮสต์ที่ถูกบุกรุกไม่ให้เข้าถึงโครงสร้างพื้นฐานของผู้โจมตี เนื่องจากกลุ่มความปลอดภัยและ NACL กรองได้เฉพาะตาม IP และพอร์ต ให้ใช้รายการโดเมนที่อนุญาตหรือปฏิเสธของ Network Firewall โดยจับคู่กับTLS SNIและHost ของ HTTPโดยไม่ต้องถอดรหัส วิธีนี้บล็อกสัญญาณควบคุมและสั่งการและการลักลอบนำข้อมูลออก ให้รวมศูนย์ทราฟฟิกขาออกผ่าน VPC ตรวจสอบ วางไฟร์วอลล์ไว้ก่อน NAT และบันทึกล็อกการตัดสินใจทั้งหมด