Derinlemesine Savunma için İkisini Katmanlandırma

Derinlemesine savunma, bir denetimdeki hata veya açığın iş yükünü açığa çıkarmaması için bağımsız denetimleri üst üste koymak demektir. Bir VPC'de güvenlik grupları ve ağ ACL'leri bu katmanlardan ikisidir; yönlendirme tabloları, WAF ve Ağ Güvenlik Duvarı ile birlikte kaynaklarınızın çevresinde örtüşen bariyerler oluştururlar.

Güvenlik grupları, yalnızca izin veren kurallarla ayrıntılı, kaynak başına ve durum bilgili denetim sağlar. NACL'ler ise hem izin verme hem reddetme özelliğiyle kaba, alt ağ genelinde ve durum bilgili olmayan denetim sağlar. Bunları birlikte kullanarak geniş bir alt ağ temeli belirlerken her kaynağı hassas biçimde ayarlayabilirsiniz.

Gelen trafiğin bir örneğe ulaşabilmesi için hem NACL'nin hem de güvenlik grubunun izin vermesi gerekir. Herhangi bir katmandaki ret kararı paketi düşürür. Bu AND mantığı, yanlışlıkla aşırı izin verici bir güvenlik grubu oluşturulsa bile kısıtlayıcı bir NACL'nin ikinci bir güvenlik katmanı olarak çalışmasını sağlar.

Hiçbir kaynak sahibinin geçersiz kılamayacağı alt ağ düzeyindeki koruyucu sınırları uygulamak için NACL'leri kullanın. Örneğin bilinen kötü amaçlı bir CIDR'yi reddedebilir veya hiçbir zaman iletişim kurmaması gereken katmanlar arasındaki trafiği engelleyebilirsiniz. NACL'ler kaba denetim sağladığından bu kuralları geniş kapsamlı ve kararlı tutun.

Günlük kullanım ve en az ayrıcalık kuralları için güvenlik gruplarını kullanın: web katmanında 443 portunu açın, uygulama katmanının veritabanına ulaşmasına izin verin ve IP'ler yerine gruplara başvurun. Hassas ve durum bilgili oldukları için ağ politikanızın büyük bölümü burada bulunur.

Klasik katmanlı bir tasarımda genel, özel uygulama ve özel veri alt ağları ayrı katmanlara yerleştirilir. NACL'ler veri alt ağının doğrudan internetle iletişim kurmasını engellerken güvenlik grupları web'den uygulamaya, uygulamadan veritabanına uzanan zinciri oluşturur. Bir katmana sızan saldırgan, sonraki katmanda yine her iki denetimle karşılaşır.

Katmanlama, bir ihlalin etki alanını küçültür. Bir uygulama sunucusu ele geçirilirse sıkı güvenlik grupları sunucunun veri katmanını taramasını engeller, NACL'ler de alt ağ genelindeki yanal hareketi durdurur. Saldırgan VPC'de serbestçe dolaşmak yerine sınırlandırılır.

Katmanlı kurallarınızın gerçekten amaçlandığı gibi çalıştığını VPC Akış Günlükleri'ni analiz ederek doğrulayın. Ret kayıtları engellenen girişimleri, beklenmeyen kabul kayıtları ise açıkları gösterir. Katmanlar arasındaki trafiğin amaçlanan tasarımla eşleşip eşleşmediğini denetlemek için Akış Günlükleri'ni Athena sorgularıyla birlikte kullanın.

NACL'ler durumsuz olduğundan ve varsayılan olarak her yön için 20 kuralla sınırlı olduğundan, ayrıntılı ilkeleri bunlarla ifade etmeye çalışmayın. NACL'leri aşırı yüklemek, geçici bağlantı noktalarıyla ilgili sorunlara ve kural numaralarının kontrolsüzce artmasına yol açar. Bunları basit tutun ve ayrıntıları güvenlik gruplarına bırakın.

Güvenlik grupları ve NACL'ler yalnızca IP, bağlantı noktası ve protokol temelinde filtreleme yapar. HTTP içeriğini incelemek, SQL enjeksiyonunu engellemek veya alan adına göre filtrelemek için daha üst katmanlar eklemeniz gerekir: web istekleri için WAF ve derin paket incelemesi için AWS Network Firewall. Her ikisi de bu kategorinin ilerleyen bölümlerinde ele alınacaktır.

Olgun bir VPC; yönlendirme tablolarını, NACL'leri, güvenlik gruplarını, Network Firewall'ı ve WAF'ı katmanlar hâlinde kullanır; her biri diğerlerinin gözden kaçırdıklarını yakalar. SCS-C02 sınavında, doğru katmanda doğru denetimi seçmeniz ve tek bir denetime güvenmek yerine bunları birleştirmeniz beklenir.

Katmanlı denetimler hakkında akıl yürütün.

Derinlemesine savunma, NACL'leri ve güvenlik gruplarını birlikte kullanır; böylece birindeki boşluk diğeri tarafından yakalanır. Trafiğin geçmesi için her ikisinin de gelen trafiğe izin vermesi gerekir; bu da kısıtlayıcı bir NACL'yi ikinci bir güvenlik katmanı hâline getirir. NACL'leri alt ağlar için genel koruma sınırları, güvenlik gruplarını ise kaynak başına ayrıntılı en az ayrıcalık için kullanın. Flow Logs ile doğrulama yapın, NACL'leri basit tutun ve içerik farkındalıklı filtreleme için WAF veya Network Firewall ekleyin.