Kombinasikan ACL jaringan dengan security group untuk menerapkan kontrol lalu lintas subnet berlapis (defense-in-depth).
Risiko keamanan
Security group beroperasi di tingkat NIC dan menetapkan aturan akses per instans, sedangkan ACL jaringan beroperasi di tingkat subnet serta menyaring lalu lintas antar-subnet. Keduanya bersama-sama membentuk pertahanan berlapis yang mengurangi risiko akibat konfigurasi security group yang salah atau instans yang tidak terlindungi.
Saat lalu lintas memasuki Virtual Private Cloud (VPC), lalu lintas tersebut pertama kali mencapai vSwitch. ACL jaringan menyaring lalu lintas sebelum security group atau Cloud Firewall, sehingga memblokir lalu lintas inbound yang tidak sah untuk menghemat sumber daya pemrosesan dan lalu lintas outbound yang tidak perlu guna menghemat bandwidth.
Tambahkan aturan security group dengan ACL jaringan
Latar belakang dan tantangan
Di lingkungan cloud, Anda sering menghubungkan beberapa VPC untuk memungkinkan komunikasi lintas layanan. Pertimbangkan dua VPC berikut:
-
VPC1 (10.200.0.0/16): Menjalankan aplikasi yang mengakses sumber daya di VPC2.
-
VPC2 (10.1.0.0/16): Menjalankan instans layanan dalam lingkungan jaringan yang kompleks.
Pada awalnya, untuk menyederhanakan pengembangan dan mempercepat penyebaran, aturan security group di VPC2 dibuat terlalu permisif. Misalnya, beberapa security group membuka port ke seluruh blok CIDR 10.0.0.0/8, dan beberapa Instance ECS yang seharusnya hanya dapat diakses secara internal justru mengizinkan akses dari semua sumber (0.0.0.0/0).
Saat Anda menghubungkan VPC1 dan VPC2 melalui koneksi peering VPC, risiko tersebut menjadi nyata. Tujuannya adalah mengizinkan layanan di VPC1 mengakses port 80 pada kluster 10.1.38.0/24 di VPC2. Namun, penerapan aturan security group yang tepat hanya pada kluster target saja tidak cukup. Koneksi peering menghubungkan sebagian atau seluruh blok CIDR 10.200.0.0/16 dan 10.1.0.0/16, sehingga instans yang salah konfigurasi di VPC2 berpotensi terekspos secara tidak sengaja ke VPC1.
Solusi: Gunakan ACL jaringan untuk memperkuat keamanan perbatasan
Untuk menetapkan batas keamanan yang jelas, konfigurasikan ACL jaringan pada vSwitch di VPC2 yang terhubung ke VPC1. ACL jaringan merupakan filter paket tanpa status (stateless) di tingkat subnet yang berfungsi sebagai firewall subnet dan diterapkan sebelum security group.
Kebijakan konfigurasinya adalah sebagai berikut:
-
Tolak secara default: Tetapkan aturan default untuk menolak semua lalu lintas inbound dari VPC1 (10.200.0.0/16) dan semua lalu lintas outbound ke VPC1. Hal ini menetapkan garis dasar aman di mana kedua VPC tidak dapat berkomunikasi tanpa izin eksplisit.
-
Izinkan traffic tertentu: Tambahkan aturan dengan prioritas lebih tinggi untuk mengizinkan komunikasi dua arah pada port 80 antara VPC1 (10.200.0.0/16) dan kluster target di VPC2 (10.1.38.0/24).
-
Aturan inbound: Izinkan lalu lintas TCP inbound pada port 80 dari 10.200.0.0/16 ke 10.1.38.0/24.
-
Aturan outbound: Izinkan lalu lintas respons TCP outbound dari 10.1.38.0/24 ke 10.200.0.0/16 pada range port ephemeral.
-
Dengan konfigurasi ini, vSwitch menggunakan ACL jaringan untuk menyaring permintaan yang tidak sah terlebih dahulu. Hanya lalu lintas yang secara eksplisit diizinkan yang mencapai Instance ECS. Bahkan jika beberapa aturan security group bermasalah, instans tetap tidak terekspos ke VPC1.