กลุ่มความปลอดภัยกรองทราฟฟิกอย่างไร

กลุ่มความปลอดภัย (SG)คือไฟร์วอลล์เสมือนที่เชื่อมต่อโดยตรงกับอินเทอร์เฟซเครือข่ายแบบยืดหยุ่น (ENI) ของทรัพยากร เช่น อินสแตนซ์ EC2 ฐานข้อมูล RDS หรือตัวจัดสรรภาระงาน โดยควบคุมทราฟฟิกขาเข้าและขาออกในระดับทรัพยากรแทนที่จะควบคุมที่ขอบเขตเครือข่าย ดังนั้นอินสแตนซ์สองรายการในซับเน็ตเดียวกันจึงมีกฎที่แตกต่างกันมากได้

กลุ่มความปลอดภัยมีเฉพาะกฎอนุญาตเท่านั้น ไม่มีวิธีเขียนกฎปฏิเสธอย่างชัดเจน ทราฟฟิกใดก็ตามที่ไม่ตรงกับกฎอนุญาตจะถูกทิ้งไป กล่าวคือ คุณสร้างการเข้าถึงด้วยการเพิ่มสิทธิ์ที่ต้องการอนุญาต และค่าเริ่มต้นโดยปริยายคือการบล็อกทุกอย่างที่เหลือ

กลุ่มความปลอดภัยที่สร้างใหม่จะปฏิเสธทราฟฟิกขาเข้าทั้งหมดและอนุญาตทราฟฟิกขาออกทั้งหมด คุณต้องเปิดการเข้าถึงขาเข้าอย่างตั้งใจทีละพอร์ต ส่วนขาออกจะเปิดกว้างไว้จนกว่าคุณจะจำกัด การสอบมักทดสอบความเข้าใจว่าทราฟฟิกขาออกได้รับอนุญาตเป็นค่าเริ่มต้น

แต่ละกฎกำหนดโพรโทคอล (TCP, UDP, ICMP), ช่วงพอร์ต และต้นทาง (สำหรับขาเข้า) หรือปลายทาง (สำหรับขาออก) ต้นทางอาจเป็นบล็อก CIDR เช่น 10.0.0.0/16 หรือ ID ของกลุ่มความปลอดภัยอื่น ทำให้คุณอ้างอิงกลุ่มแทน IP ที่กำหนดตายตัวได้

การตั้งต้นทางเป็นID ของกลุ่มความปลอดภัยอื่นจะสร้างการเข้าถึงแบบไดนามิกที่อิงตามตัวตน ตัวอย่างเช่น SG ของฐานข้อมูลอาจอนุญาตพอร์ต 5432 จาก SG ของชั้นแอปพลิเคชันเท่านั้น เมื่อเซิร์ฟเวอร์แอปพลิเคชันเพิ่มหรือลดจำนวน คุณไม่ต้องแก้ไข IP เพราะสมาชิกของกลุ่มที่อ้างอิงเป็นตัวกำหนดการเข้าถึง

กลุ่มความปลอดภัยเป็นแบบมีสถานะ เมื่อคุณอนุญาตคำขอขาเข้า ระบบจะอนุญาตการตอบกลับขาออกโดยอัตโนมัติโดยไม่สนใจกฎขาออก และในทางกลับกัน ระบบจะติดตามการเชื่อมต่อไว้ ดังนั้นคุณไม่ต้องเขียนกฎตอบกลับที่สอดคล้องกัน นี่คือความแตกต่างด้านพฤติกรรมที่สำคัญที่สุดเมื่อเทียบกับ ACL เครือข่าย

ENI หนึ่งรายการสามารถมีหลายกลุ่มความปลอดภัยเชื่อมต่ออยู่พร้อมกัน กฎของกลุ่มเหล่านั้นจะถูกรวมกันแบบยูเนียน กล่าวคือ หากกลุ่มใดกลุ่มหนึ่งอนุญาตทราฟฟิกนั้น ทราฟฟิกก็จะได้รับอนุญาต ไม่มีลำดับหรือความสำคัญของกฎ ดังนั้นคุณจึงใช้กลุ่มหนึ่งเขียนกฎปฏิเสธเพื่อแทนที่อีกกลุ่มไม่ได้

ใช้หลักสิทธิ์เท่าที่จำเป็นโดยเปิดเฉพาะพอร์ตที่แต่ละระดับชั้นต้องใช้เท่านั้น ระดับชั้นเว็บอาจอนุญาตพอร์ต 443 จากอินเทอร์เน็ต ระดับชั้นแอปอนุญาตพอร์ต 8080 เฉพาะจาก SG ของเว็บ และระดับชั้นข้อมูลอนุญาตพอร์ต 3306 เฉพาะจาก SG ของแอป การเชื่อมต่อเป็นลำดับชั้นนี้ช่วยจำกัดการเคลื่อนที่ด้านข้างหลังเกิดการเจาะระบบ

การตั้งค่าผิดพลาดที่อันตรายที่สุดคือการอนุญาต 0.0.0.0/0 บนพอร์ต 22 หรือ 3389 ซึ่งเปิดเผย SSH หรือ RDP ต่ออินเทอร์เน็ตทั้งหมด GuardDuty และศูนย์ความปลอดภัยจะแจ้งเตือนกรณีเหล่านี้ ควรหลีกเลี่ยงพอร์ตผู้ดูแลระบบขาเข้าทั้งหมด และใช้ Session Manager แทน โดยมีการอธิบายเรื่องนี้ในหลักสูตร SSM

กลุ่มความปลอดภัยจะไม่บันทึกแพ็กเก็ตที่อนุญาตหรือปฏิเสธด้วยตัวเอง หากต้องการดูว่าการรับส่งข้อมูลใดเกิดขึ้นจริง คุณต้องอาศัย VPC Flow Logs ซึ่งบันทึกผลการตัดสินใจว่าอนุญาตหรือปฏิเสธในแต่ละการเชื่อมต่อ ควรใช้การออกแบบ SG ร่วมกับ Flow Logs เพื่อตรวจสอบว่ากฎทำงานตามที่ตั้งใจ

กลุ่มความปลอดภัยเป็นแนวป้องกันเครือข่ายชั้นแรกและละเอียดที่สุดภายใน VPC โดยทำงานในระดับอินสแตนซ์ กลุ่มเหล่านี้ทำงานเสริมกับ ACL เครือข่ายระดับซับเน็ตและเครื่องมือระดับแอปพลิเคชันอย่าง WAF การเข้าใจพฤติกรรมแบบมีสถานะ อนุญาตเท่านั้น และรวมกฎเข้าด้วยกันของกลุ่มความปลอดภัย เป็นสิ่งจำเป็นสำหรับการสอบ SCS-C02

ทดสอบความเข้าใจเกี่ยวกับพฤติกรรมของกลุ่มความปลอดภัย

กลุ่มความปลอดภัยเป็นไฟร์วอลล์เสมือนที่ มีสถานะและอนุญาตเท่านั้น ซึ่งผูกอยู่กับ ENI ของทรัพยากร กลุ่มใหม่จะ ปฏิเสธการรับส่งข้อมูลขาเข้าทั้งหมด และอนุญาตการรับส่งข้อมูลขาออกทั้งหมด กฎจะระบุโพรโทคอล พอร์ต และแหล่งที่มา ซึ่งอาจเป็น CIDR หรือ ID ของอีกกลุ่มหนึ่ง กลุ่มหลายกลุ่มจะรวมกฎเข้าด้วยกันโดยไม่มีการปฏิเสธหรือลำดับความสำคัญ หลีกเลี่ยงพอร์ตผู้ดูแลระบบที่เปิดกว้าง และใช้ Flow Logs เพื่อตรวจสอบการรับส่งข้อมูล เนื่องจาก SG ไม่ได้บันทึกข้อมูลดังกล่าว