Güvenlik Grupları ve Anahtar Çiftleri

Güvenlik grubu, bir EC2 bulut sunucusuna (veya RDS, Lambda, ELB gibi diğer AWS kaynaklarına) gelen ve giden trafiği denetleyen sanal, durum bilgili bir güvenlik duvarıdır. Güvenlik grupları bulut sunucusu düzeyinde çalışır; her kural bir protokolü (TCP/UDP/ICMP), bağlantı noktası aralığını ve kaynağı/hedefi (IP aralığı veya başka bir güvenlik grubu) belirtir. Geleneksel güvenlik duvarlarından farklı olarak güvenlik grupları durum bilgilidir: gelen trafiğe izin verirseniz, yanıt trafiğine açık bir kural olmadan otomatik olarak giden yönde izin verilir.

Güvenlik gruplarının ayrı gelen ve giden kural kümeleri vardır. Gelen kurallar, bulut sunucusuna ulaşan trafiği denetler; varsayılan olarak tüm gelen trafik reddedilir. Giden kurallar, bulut sunucusundan ayrılan trafiği denetler; varsayılan olarak tüm giden trafiğe izin verilir. Açık İzin Ver kuralları eklersiniz; güvenlik gruplarında açık Reddet kuralları yoktur (açık ret işlemleri için Ağ ACL'lerini kullanın). Bir güvenlik grubundaki tüm kurallar mantıksal OR kullanılarak birlikte değerlendirilir; eşleşen herhangi bir İzin Ver kuralı trafiğe izin verir.

Güvenlik grupları, IP aralıkları belirtmekten daha esnek ve güvenli olan kaynak/hedef güvenlik grubu başvurularını destekler. Örneğin, bir ALB güvenlik grubu 443 bağlantı noktasında 0.0.0.0/0'a izin verir. EC2 bulut sunucularının güvenlik grubu, gelen 8080 bağlantı noktasına yalnızca ALB güvenlik grubu ID üzerinden izin verir; herhangi bir IP üzerinden değil. Bir ALB değiştirilirse veya ölçeklendirilirse, IP değişikliklerine gerek kalmadan kural doğru şekilde uygulanmaya devam eder. Bu düzen, çok katmanlı mimariler için katmanlı ve dinamik bir savunma oluşturur.

Durum bilgili olması, güvenlik grubunun bağlantı durumunu takip ettiği anlamına gelir. Gelen kuralınız internetten TCP 80 bağlantı noktasına izin veriyorsa ve bir istemci istek gönderirse, yanıt paketlerinin (giden) istemciye geri dönmesine, 80 bağlantı noktası için giden kural olmasa bile otomatik olarak izin verilir. Bu durum, durum bilgisiz olan ve trafiğin her iki yönü için açık kurallar gerektiren Ağ ACL'lerinden temelde farklıdır. Durum bilgili yapı, tipik uygulama trafiği düzenlerinde güvenlik gruplarının yapılandırılmasını kolaylaştırır.

Tek bir EC2 bulut sunucusuna birden fazla güvenlik grubu ekleyebilirsiniz (varsayılan olarak en fazla 5, ayarlanabilir). Eklenen tüm güvenlik gruplarındaki kurallar birleşim kullanılarak (OR mantığı) bir araya getirilir; herhangi bir güvenlik grubu isteğe izin verirse istek kabul edilir. Bu, güvenlik gruplarının yalnızca izin ekleyebileceği, bunları asla kısıtlayamayacağı anlamına gelir; erişimi sıkılaştırmak istiyorsanız daha kısıtlayıcı bir güvenlik grubu eklemek yerine kuralları kaldırmalı veya değiştirmelisiniz. Erişim kısıtlamasıyla ilgili sınav sorularında bu eklemeli davranışı göz önünde bulundurun.

Her VPC, bir varsayılan güvenlik grubu içerir. Varsayılan kuralları şöyledir: Gelen yön, varsayılan güvenlik grubunda bulunan diğer bulut sunucularından gelen tüm trafiğe izin verir; giden yön ise her yere giden tüm trafiğe izin verir. Bu yapı, yeni bulut sunucularının varsayılan olarak iletişim kurabilmesi için kasıtlı olarak geniş izinlidir. Üretim ortamlarında, sıkılaştırılmış bir gelen kural kümesine sahip özel bir güvenlik grubu oluşturun ve yanlışlıkla açığa çıkmayı önlemek için bulut sunucularının varsayılan güvenlik grubuyla ilişkilerini kaldırın.

EC2 anahtar çiftleri, SSH kimlik doğrulaması için asimetrik şifreleme kullanır. AWS anahtar çiftini oluşturur (veya kendi açık anahtarınızı içe aktarırsınız): AWS açık anahtarı depolar ve başlatma sırasında bunu bulut sunucusuna ekler; siz ise özel anahtarı (.pem dosyası) indirip depolarsınız; AWS bunu asla depolamaz. SSH, parola iletmeden kimliğinizi sunucuya kanıtlamak için özel anahtarı kullanır. Özel anahtarın kısıtlayıcı izinlere sahip olması gerekir (chmod 400); aksi hâlde SSH onu kullanmayı reddeder.

Bir Linux EC2 bulut sunucusunun özel anahtarını kaybederseniz, geleneksel yöntemle SSH üzerinden bağlanamazsınız. Kurtarma seçenekleri şunlardır: Sistemler Yöneticisi Oturum Yöneticisi (SSM aracısı çalışıyorsa ve bir IAM rolü ekliyse anahtar gerekmez), EC2 Bulut Sunucusu Bağlantısı (tarayıcı veya CLI aracılığıyla geçici anahtar ekler; açık bir SSH bağlantı noktası ve EIC izinleri gerektirir) ya da bulut sunucusunu durdurmak, kök EBS birimini ayırmak, başka bir bulut sunucusuna bağlamak, authorized_keys dosyasını değiştirmek, yeniden bağlamak ve yeniden başlatmak. Windows için parolayı almak üzere Sistemler Yöneticisini kullanın.

SSH'yi (22. bağlantı noktası) 0.0.0.0/0 için açık bırakmak, bulut sunucunuzu internetteki her yerden kaba kuvvet ve kimlik bilgisi doldurma saldırılarına maruz bırakır. En iyi uygulamalar: SSH'yi belirli kurumsal IP aralığınızla sınırlayın veya sıkı denetlenen bir güvenlik grubuna sahip genel alt ağda bir atlama ana bilgisayarı kullanın; ardından atlama ana bilgisayarından özel bulut sunucularına SSH ile bağlanın. Daha da iyisi, SSH bağlantı noktası açığa çıkmasını tamamen ortadan kaldırmak için Sistemler Yöneticisi Oturum Yöneticisini kullanın; hiçbir gelen kurala gerek kalmaz.

Güvenlik grupları için başlıca varsayılan sınırlar (Hizmet Kotaları aracılığıyla ayarlanabilir): VPC başına en fazla 2.500 güvenlik grubu, güvenlik grubu başına 60 gelen ve 60 giden kural ve ağ arabirimi başına 5 güvenlik grubu. Başka bir güvenlik grubuna kaynak olarak başvurulduğunda, başvurulan her güvenlik grubu-kural birleşimi bir kural sayılır. Kural sınırına ulaşırsanız, tek tek IP aralıkları yerine güvenlik grubu ID'lerine başvurarak kuralları birleştirin veya birden çok CIDR'yi yönetilebilir tek bir varlıkta gruplamak için önek listelerini kullanın.

Yönetilen önek listesi, güvenlik grubu kurallarında veya yönlendirme tablolarında başvurabileceğiniz bir CIDR blokları kümesidir. AWS, S3 ve CloudFront gibi hizmetler için AWS tarafından yönetilen önek listelerini sürdürür; böylece IP aralıklarını kendiniz korumadan bu hizmetlere giden/gelen trafiğe izin verebilirsiniz (bu aralıklar zaman içinde değişir). Kurumsal IP aralıklarınızı gruplamak için müşteri tarafından yönetilen önek listeleri de oluşturabilirsiniz; önek listesini tek bir yerden güncellediğinizde, ona başvuran tüm güvenlik grupları değişikliği otomatik olarak devralır.

Bu dersteki AWS Çözüm Mimarı (SAA-C03) kavramlarına ilişkin anlayışınızı sınayın.

Bu derste şunları öğrendiniz: güvenlik grupları, varsayılan olarak trafiği reddedip izin veren durum bilgili sanal güvenlik duvarlarıdır, güvenlik gruplarını ID ile zincirlemek, IP aralıklarını kullanmaktan daha güvenli ve esnektir ve anahtar çiftleri asimetrik SSH kimlik doğrulaması sağlarken Sistemler Yöneticisi Oturum Yöneticisi açık SSH bağlantı noktalarına duyulan gereksinimi ortadan kaldırır. Sırada EC2 depolama seçeneklerini ele alıyoruz: Instance Store ve EBS.