Etki Alanı Filtreleme ve Çıkış Denetimi

Çoğu güvenlik duvarı gelen trafiğe odaklanır, ancak egress (giden) denetimi güvenlik için kritik önemdedir. Ele geçirilmiş iş yükleri komut almak veya veri sızdırmak için saldırganların sunucularına bağlanır. Kaynaklarınızın erişebileceği hedefleri kısıtlamak bu yolu kapatır ve bir ihlalin zararını sınırlar.

Güvenlik grupları ve NACL'ler giden trafiği yalnızca IP ve bağlantı noktasına göre, etki alanına göre değil, kısıtlayabilir. Saldırgan altyapısı dönüşümlü IP'ler ve paylaşılan bulut sunucuları kullandığından IP tabanlı egress kuralları kırılgandır. Network Firewall'daki etki alanı tabanlı filtreleme, hedefleri ada göre denetleyerek bu sorunu çözer.

Bir etki alanı izin listesi, giden trafiğe yalnızca yazılım depolarınız, AWS hizmet uç noktaları ve iş ortağı API'leri gibi onaylanmış etki alanlarına izin verir, diğer her şeyi engeller. Varsayılan olarak reddetme yaklaşımı, ele geçirilmiş bir ana bilgisayarın bile bilinmeyen komuta ve kontrol sunucularına erişemeyeceği anlamına gelir.

Bir etki alanı ret listesi bunun tersini yapar; bilinen kötü amaçlı veya istenmeyen etki alanlarını engellerken diğerlerine izin verir. Yüksek güvenlik gerektiren ortamlarda izin listeleri daha güçlüdür; ret listeleri ise her şeyi engellemenin pratik olmadığı, daha az kısıtlayıcı iş yüklerine uygundur.

Network Firewall, hedef etki alanını belirlemek için HTTPS'te TLS SNI (Server Name Indication) ve şifrelenmemiş trafikte HTTP Host üst bilgisini inceler. SNI, TLS el sıkışması sırasında açık olarak gönderildiğinden güvenlik duvarı, trafiğin şifresini çözmeden HTTPS'yi etki alanına göre filtreleyebilir.

Egress filtreleme, veri sızdırmaya doğrudan karşı koyar. Bir saldırgan çalınan verileri onaylanmamış bir bulut depolama veya metin paylaşım sitesine yüklemeye çalışırsa etki alanı kuralı bağlantıyı engeller. Günlükleme ile birlikte bir girişimin gerçekleştiğine dair uyarı da alarak algılamaya yardımcı olursunuz.

Kötü amaçlı yazılımlar genellikle yönergeler almak için komuta ve kontrol (C2) etki alanlarına sinyal gönderir. Katı bir egress izin listesi bu döngüyü bozar; çünkü C2 etki alanı listede değildir. Böylece ilk bulaşmadan sonra bile birçok kötü amaçlı yazılım ailesi etkisiz hâle getirilir. Bu, temel bir sınırlama denetimidir.

Birden fazla VPC bulunan kurulumlarda tüm giden trafiği, aktarım ağ geçidi üzerinden Network Firewall çalıştıran merkezi bir inceleme VPC'sine yönlendirin. Böylece tek bir egress politikası her iş yükünü yönetir ve tek bir etki alanı kuralı kümesi kuruluş genelinde tutarlı biçimde uygulanarak hem güvenlik hem de denetim basitleştirilir.

Egress filtreleme genellikle giden yolda bir NAT ağ geçidiyle birlikte bulunur. Trafik özel alt ağlardan güvenlik duvarı üzerinden, ardından NAT üzerinden internete akar. Her giden bağlantının incelenmesi için rota tabloları trafiği NAT'tan önce güvenlik duvarı uç noktasına göndermelidir.

Hangi egress girişimlerinin engellendiğini ve iş yüklerinin hangi etki alanlarıyla iletişim kurduğunu görebilmek için Network Firewall uyarı ve akış günlüklerini günlükleme işlem hattınıza gönderin. Beklenmeyen şekilde engellenen etki alanları bir ihlali ortaya çıkarabilir; izin verilenler listesi ise zaman içinde politikayı uygun boyuta getirmenize ve sıkılaştırmanıza yardımcı olur.

Etkili egress güvenliği; etki alanı izin listelerini, varsayılan drop içeren strict order'ı, merkezi incelemeyi ve kapsamlı günlüklemeyi katmanlar. Bu yaklaşım, giden trafiği açık bir kapı olmaktan çıkarıp sıkı biçimde yönetilen ve izlenebilen bir kanala dönüştürür; SCS-C02 sınavı, ihlalleri sınırlamak için bu denetimi vurgular.

Egress filtreleme mantığını uygulayın.

Egress denetimi, ele geçirilmiş ana bilgisayarların saldırgan altyapısına erişmesini engeller. Güvenlik grupları ve NACL'ler yalnızca IP ve bağlantı noktasına göre filtreleme yaptığından, TLS SNI ve HTTP Host ile eşleşen, şifre çözme gerektirmeyen Network Firewall etki alanı izin veya ret listelerini kullanın. Bu, komuta ve kontrol sinyallerini ve veri sızdırmayı engeller. Egress'i bir inceleme VPC'si üzerinden merkezileştirin, güvenlik duvarını NAT'ın önüne yerleştirin ve tüm kararları günlükleyin.