Güvenlik Grupları Trafiği Nasıl Filtreler

Bir security group (SG), EC2 örneği, RDS veritabanı veya yük dengeleyici gibi bir kaynağın elastic network interface'ine (ENI) doğrudan bağlanan sanal bir güvenlik duvarıdır. Trafiği ağ sınırında değil, kaynak düzeyinde denetler; bu nedenle aynı alt ağdaki iki örnek çok farklı kurallara sahip olabilir.

Security group'lar yalnızca allow rules only içerir. Açık bir reddetme kuralı yazmanın yolu yoktur. Bir izin kuralıyla eşleşmeyen tüm trafik basitçe bırakılır. Bu, erişimi istediğiniz izinleri ekleyerek oluşturduğunuz ve örtük varsayılan davranışın diğer her şeyi engellemek olduğu anlamına gelir.

Yeni oluşturulan bir security group denies all inbound trafiği engeller ve allows all outbound trafiğe izin verir. Gelen erişimi bağlantı noktası bazında bilinçli olarak açarsınız; dışa çıkış ise siz kısıtlamadığınız sürece tamamen açıktır. Sınav senaryoları çoğu zaman dışa çıkışın varsayılan olarak izin verici olduğunu hatırlamaya dayanır.

Her kural bir protocol (TCP, UDP, ICMP), bir port range ve gelen trafik için bir source, dışa giden trafik içinse bir destination tanımlar. Kaynak, 10.0.0.0/16 gibi bir CIDR bloğu veya başka bir security group ID olabilir; böylece sabit IP'ler yerine gruplara başvurabilirsiniz.

Kaynağı başka bir security group ID olarak ayarlamak, dinamik ve kimlik tabanlı erişim oluşturur. Örneğin bir veritabanı SG'si, 5432 numaralı bağlantı noktasına yalnızca uygulama katmanı SG'sinden erişime izin verebilir. Uygulama sunucuları ölçeklendikçe IP değişikliği yapmanız gerekmez; erişimi, başvurulan gruba üyelik belirler.

Security group'lar stateful özelliktedir. Gelen bir isteğe izin verdiğinizde, dışa çıkış kurallarından bağımsız olarak yanıtın dışarı çıkmasına otomatik olarak izin verilir; bunun tersi de geçerlidir. Bağlantı izlendiğinden eşleşen bir dönüş kuralı yazmanız gerekmez. Bu, ağ ACL'lerinden en önemli davranış farkıdır.

Tek bir ENI'ye aynı anda birkaç security group bağlanabilir. Bunların kuralları combined as a union biçiminde birleştirilir: bağlı gruplardan herhangi biri trafiğe izin verirse trafik kabul edilir. Kural sıralaması veya önceliği yoktur; bu nedenle bir grubu kullanarak diğerini bir reddetme kuralıyla geçersiz kılamazsınız.

Her katmanın yalnızca ihtiyaç duyduğu tam portları açarak en az ayrıcalık ilkesini uygulayın. Bir web katmanı internetten gelen 443 portuna izin verebilir; uygulama katmanı yalnızca web SG'sinden gelen 8080 portuna izin verir; veri katmanı ise yalnızca uygulama SG'sinden gelen 3306 portuna izin verir. Bu katmanlı zincirleme, bir ihlal sonrasında yanal hareketi sınırlar.

En tehlikeli yanlış yapılandırma, 22 veya 3389 portunda 0.0.0.0/0 adresine izin vererek SSH veya RDP'yi tüm internete açmaktır. GuardDuty ve Security Hub bunları işaretler. Bunun yerine hiçbir gelen yönetim portunu açmamayı ve SSM kursunda ele alınan Session Manager'ı kullanmayı tercih edin.

Güvenlik grupları izin verilen veya reddedilen paketleri kendileri günlük olarak kaydetmez. Gerçekte hangi trafiğin aktığını görmek için her bağlantıdaki kabul veya ret kararını kaydeden VPC Akış Günlükleri'ne güvenirsiniz. Kurallarınızın amaçlandığı gibi çalıştığını doğrulamak için SG tasarımını Akış Günlükleri ile birlikte kullanın.

Güvenlik grupları, bir örnek düzeyinde çalışan ve VPC içindeki ağ savunmasının ilk ve en ayrıntılı katmanıdır. Alt ağ genelindeki ağ ACL'lerini ve WAF gibi uygulama katmanı araçlarını tamamlarlar. Durum bilgili, yalnızca izin veren ve birleşim mantığıyla çalışan yapılarını öğrenmek SCS-C02 sınavı için gereklidir.

Güvenlik gruplarının davranışını ne kadar kavradığınızı test edin.

Güvenlik grupları, kaynak ENI'sine iliştirilmiş durum bilgili ve yalnızca izin veren sanal güvenlik duvarlarıdır. Yeni gruplar tüm gelen trafiği reddeder, tüm giden trafiğe izin verir. Kurallar protokolü, portu ve CIDR veya başka bir grup kimliği olabilen kaynağı belirtir. Birden çok grup, ret veya öncelik sırası olmadan birleşim olarak değerlendirilir. Açık yönetim portlarından kaçının ve SG'ler günlük kaydı tutmadığından trafiği gözlemlemek için Akış Günlükleri'ni kullanın.