NAT Gateway:Best practices for securing outbound traffic

Este tópico descreve os riscos das conexões de saída a partir de ativos de rede privada, apresenta uma solução que utiliza NAT gateway e NAT firewall e fornece procedimentos de implantação e manutenção para essa solução em cenários de negócios típicos.

Desafios de segurança do tráfego de saída

Com o aumento da sofisticação dos ataques de rede, as empresas enfrentam desafios de segurança cada vez maiores. Normalmente, as cargas de trabalho empresariais na nuvem lidam tanto com tráfego de entrada proveniente da internet quanto com tráfego de saída iniciado por ativos de negócios. No entanto, ao protegerem suas redes, a maioria das equipes de segurança concentra-se no tráfego de entrada e implanta medidas de proteção abrangentes. A segurança do tráfego de saída é frequentemente negligenciada, tornando-se um elo fraco na postura de segurança de muitas organizações. Por exemplo, se um invasor contornar as defesas de entrada e infiltrar-se na rede interna, ele poderá exfiltrar dados, baixar malware ou conectar-se a servidores maliciosos de comando e controle (C&C). Além disso, falhas de segurança por parte da empresa podem levar funcionários internos a estabelecer conexões externas não autorizadas ou acessar sites maliciosos, criando riscos como vazamento de dados sensíveis.

As empresas precisam estar cientes dos seguintes riscos potenciais de segurança associados ao tráfego de saída:

• Risco de comprometimento por malware

  Após contornar as medidas de segurança de entrada e comprometer cargas de trabalho internas, os invasores costumam se conectar a servidores C&C maliciosos para baixar ransomware. Em uma cadeia de ataque, a infecção por malware é geralmente uma das etapas iniciais de um ataque em maior escala. Muitos tipos de malware ainda precisam se comunicar com um servidor C&C para estabelecer conexão, receber atualizações, solicitar comandos e exfiltrar dados roubados. Certos tipos de ransomware, botnets e atividades de criptomineração exigem conexões de saída. Detectar e bloquear prontamente essas conexões de saída maliciosas é crucial para evitar danos adicionais à infraestrutura de TI, aos ativos digitais e aos sistemas de desenvolvimento.

• Risco de vazamento de dados

  O roubo de dados corporativos de alto valor costuma ser o objetivo principal de atacantes maliciosos. Se obtiverem sucesso, eles poderão obter dados valiosos da empresa, como registros financeiros, senhas, e-mails e informações de identificação pessoal (PII). Em seguida, podem exfiltrar esses dados pela rede para venda ilícita, fraude financeira, roubo de identidade e outras atividades maliciosas. Os invasores também podem usar as informações adquiridas para escalar privilégios ou acessar sistemas sensíveis, o que representa riscos ainda mais destrutivos para a organização.

• Risco proveniente de pessoal interno

  Devido à falta de conscientização sobre segurança ou a falhas na gestão de segurança corporativa, funcionários internos podem acessar serviços web, locais ou endereços IP inseguros durante o desenvolvimento de sistemas ou O&M. Eles também podem carregar intencionalmente dados corporativos sensíveis em plataformas públicas ou de código aberto, como o GitHub, criando riscos de intrusão e vazamento de dados. Esses comportamentos de risco devem ser monitorados, gerar alertas, ser bloqueados e auditados para garantir a rastreabilidade.

• Risco da cadeia de suprimentos

  Uma empresa pode ter um sistema de segurança robusto, mas seus negócios podem envolver sistemas de desenvolvimento de terceiros ou exigir interconexão com fornecedores ou subsidiárias. Se um fornecedor ou subsidiária for comprometido devido a segurança inadequada, o ataque pode se propagar para a empresa e resultar em conexões de saída maliciosas. Portanto, as empresas devem monitorar e auditar o tráfego de suas cadeias de suprimentos para permitir rastreabilidade rápida e mitigação de perdas após a detecção de um ataque.

• Riscos de conformidade para tráfego de saída

  Alguns reguladores do setor e equipes de auditoria interna impuseram requisitos claros e rigorosos para o tráfego de saída visando aprimorar a segurança dos sistemas. Por exemplo, o Requisito 1.3.2 do Payment Card Industry Data Security Standard (PCI DSS) v4.0 exige a restrição do tráfego de saída do ambiente de dados do titular do cartão (CDE). Apenas o tráfego considerado necessário é permitido. Todo o restante deve ser bloqueado. Esse requisito visa impedir que indivíduos maliciosos e componentes de sistema comprometidos dentro da rede da entidade se comuniquem com hosts externos não confiáveis. Assim, as empresas também precisam implementar gestão de segurança e auditoria rigorosas para o tráfego de saída.

Solução

Para gerenciar a segurança do tráfego de saída, as empresas podem utilizar a solução "NAT gateway + NAT firewall" para monitorar e proteger esse tráfego.

• Um NAT gateway usa entradas SNAT e DNAT personalizadas para fornecer serviços voltados ao público para servidores na cloud e habilitar seu acesso à internet. Com o recurso SNAT, quando uma instância ECS inicia uma conexão de saída, ela acessa a internet por meio de um EIP do pool de endereços SNAT. Isso evita que a rede privada fique diretamente exposta à internet pública, aumentando assim a segurança dos ativos.

• O NAT firewall é um recurso de segurança do Cloud Firewall que protege os limites NAT. Ele oferece proteção de segurança da Camada 4 à Camada 7 para recursos dentro de uma VPC, como instâncias ECS e ECI, quando acessam a internet através de um NAT gateway. O NAT firewall audita e bloqueia tráfego não autorizado para reduzir riscos de segurança, como acesso não autorizado, vazamento de dados e ataques de tráfego malicioso. Em comparação com as regras SNAT de um NAT gateway, as políticas de controle de acesso do Cloud Firewall proporcionam controle refinado sobre endereços IP de destino, nomes de domínio, regiões, protocolos, portas e aplicações.

Arquiteturas da solução

Implantação

O&M

Analisar tráfego incomum

Sugestões de O&M

Se você identificar um pico de tráfego incomum e determinar que o tráfego é necessário para o seu negócio, considere as seguintes sugestões de O&M:

• Aumentar a largura de banda de proteção do Cloud Firewall

  Para mais informações, consulte Subscription expiration and renewal.

• Otimizar a implantação de cargas de trabalho

  Por exemplo, se o seu negócio precisar acessar OSS ou SLS da Alibaba Cloud, utilize um endpoint interno para economizar largura de banda da rede pública.

• Desativar o NAT firewall para endereços IP que não requerem proteção

  Para mais informações, consulte Disable a NAT firewall.