Contrôlez l'accès au réseau interne entre les instances ECS à l'aide de règles de groupe de sécurité et de la micro-segmentation.
Risques de sécurité
Par défaut, toutes les instances ECS d'un même VPC disposent d'une connectivité réseau complète. Cette configuration engendre des risques de sécurité, tels que les mouvements latéraux et les accès non autorisés. Par exemple, une instance compromise peut propager des menaces aux autres instances du même réseau. Les services internes présentent souvent une authentification et une autorisation faibles, ce qui en fait des cibles faciles.
Les groupes de sécurité permettent d'isoler les clusters de services et de bloquer les accès latéraux entre les instances afin d'atténuer ces risques.
Bonnes pratiques
Isoler les clusters de services avec des groupes de sécurité
Prenons l'exemple de deux clusters d'instances ECS : un cluster de base de données et un cluster de serveurs web. Les instances du cluster de base de données doivent communiquer entre elles, tandis que celles du cluster de serveurs web n'en ont pas besoin. L'objectif est d'autoriser le cluster de serveurs web à accéder uniquement aux ports de service du cluster de base de données.
Supposons que le cluster de base de données utilise la plage 10.1.0.0/24 et le cluster de serveurs web la plage 10.2.0.0/24. Le port de service est le 5432 (port par défaut de PostgreSQL). L'objectif est d'autoriser uniquement le cluster de serveurs web à accéder au port 5432 sur le cluster de base de données, tout en refusant tout autre accès. Voici une configuration possible :
Créez le groupe de sécurité A. Ajoutez une règle entrante pour autoriser le trafic provenant de 10.2.0.0/24 vers le port de destination 5432 avec la priorité 1. Associez les instances du cluster de base de données au groupe de sécurité A.
Créez le groupe de sécurité B. Associez les instances du cluster de serveurs web au groupe de sécurité B.
Remarque : Par défaut, un groupe de sécurité refuse tout le trafic entrant qui n'est pas explicitement autorisé et autorise tout le trafic sortant qui n'est pas explicitement refusé. Aucune règle de refus supplémentaire n'est nécessaire pour le groupe de sécurité A, et aucune règle d'autorisation n'est requise pour le groupe de sécurité B.
Utilisez des tags pour associer par lot des instances ECS à un groupe de sécurité. Par exemple, ajoutez le tag cluster:PostgreSQL à toutes les instances du cluster de base de données et au groupe de sécurité A, puis exécutez le modèle OOS ACS-ECS-CorrectSecurityGroupInstancesByTags en utilisant la valeur du tag comme paramètre. Consultez la rubrique Utiliser des tags pour trouver des instances ECS et les ajouter à un groupe de sécurité portant le même tag.
Isoler les instances au sein d'un groupe de sécurité
Dans l'exemple précédent, les instances de serveur web n'ont pas besoin de communiquer entre elles, et le cluster de base de données ne nécessite que quelques ports pour la synchronisation et la gestion. Autoriser toute la communication interne est inutile et augmente le risque de mouvement latéral.
La micro-segmentation bloque par défaut toute communication entre les instances d'un groupe de sécurité. Vous devez explicitement autoriser des ports spécifiques.
Groupes de sécurité d'entreprise : l'isolation interne est appliquée et ne peut pas être modifiée.
Groupes de sécurité de base : par défaut, les instances peuvent communiquer entre elles. Le système ajoute une règle d'autorisation masquée avec la priorité la plus élevée, et les règles personnalisées s'appliquent uniquement au trafic externe. Pour désactiver la communication interne, modifiez la stratégie de connectivité interne en isolation interne sur la page du produit du groupe de sécurité.
Ensuite, autorisez explicitement le trafic sur les ports internes requis. Par exemple, si le cluster de base de données (10.1.0.0/24) nécessite le port 2379 pour la communication interne, ajoutez une règle au groupe de sécurité A pour autoriser le trafic entrant provenant de 10.1.0.0/24 vers le port de destination 2379 avec la priorité 1.
Remarque : si une instance appartient à plusieurs groupes de sécurité, dont l'un autorise le trafic interne et l'autre applique l'isolation, l'effet combiné consiste à autoriser le trafic interne.
Examiner l'effet combiné de plusieurs groupes de sécurité
Une instance peut appartenir à plusieurs groupes de sécurité. Les règles de tous les groupes sont combinées et appliquées selon leur priorité. Pour éviter des résultats inattendus, examinez les règles combinées finales sur la page du groupe de sécurité de l'instance.
Sur la page des détails de l'instance, cliquez sur l'onglet Security Groups, puis sélectionnez le sous-onglet All Inbound Rules on Intranet. Ici, vous pouvez consulter la liste consolidée des règles de tous les groupes de sécurité associés. La liste comprend des colonnes telles que Priority, Action, Protocol, Port Range et Source.
Conformité
Vérifier les règles trop permissives
Analysez les modèles de communication à l'aide des journaux de flux VPC pour identifier les règles de groupe de sécurité trop permissives et renforcer les autorisations.