Alt ağ trafiğini derinlemesine savunma stratejisiyle kontrol etmek amacıyla ağ ACL'lerini güvenlik gruplarıyla birlikte kullanın.
Güvenlik riskleri
Güvenlik grupları NIC düzeyinde çalışır ve örnek başına erişim kuralları tanımlar. Ağ ACL'leri ise alt ağ düzeyinde çalışır ve alt ağlar arasındaki trafiği filtreler. Bu iki hizmet birlikte, yanlış yapılandırılmış güvenlik grubu kurallarından veya korunmasız örneklerden kaynaklanan riskleri azaltan katmanlı bir savunma oluşturur.
Trafik bir Virtual Private Cloud (VPC) içine girdiğinde öncelikle bir vSwitch'e ulaşır. Ağ ACL'si, güvenlik gruplarından veya Cloud Firewall'dan önce trafiği filtreleyerek meşru olmayan gelen trafiği engeller; bu sayede işleme kaynaklarından tasarruf edilir ve gereksiz giden trafik önlenerek bant genişliği korunur.
Güvenlik grubu kurallarını ağ ACL'si ile destekleyin
Arka plan ve zorluklar
Cloud ortamlarında, hizmetler arası iletişimi sağlamak için genellikle birden fazla VPC bağlarsınız. İki VPC'yi ele alalım:
VPC1 (10.200.0.0/16): VPC2'deki kaynaklara erişen uygulamaları barındırır.
VPC2 (10.1.0.0/16): Karmaşık bir ağ ortamında hizmet örneklerini barındırır.
Başlangıçta, geliştirmeyi basitleştirmek ve dağıtımı hızlandırmak amacıyla VPC2'nin güvenlik grubu kuralları aşırı izin verici şekilde ayarlanmıştır. Örneğin, bazı güvenlik grupları 10.0.0.0/8 CIDR bloğundaki tüm adreslere yönelik portları açmış ve yalnızca dahili erişim için tasarlanan bazı ECS örnekleri tüm kaynaklardan (0.0.0.0/0) erişime izin vermiştir.
VPC1 ile VPC2'yi bir VPC eşlemesi bağlantısı üzerinden bağladığınızda bu riskler ortaya çıkar. Amaç, VPC1'deki hizmetlerin VPC2'deki 10.1.38.0/24 kümesindeki 80 numaralı porta erişmesine olanak tanımaktır. Ancak hedef küme için hassas güvenlik grubu kuralları tek başına yetersiz kalır. Eşleme bağlantısı, 10.200.0.0/16 ve 10.1.0.0/16 CIDR bloklarını kısmen veya tamamen birbirine bağladığından VPC2'deki yanlış yapılandırılmış örnekler kazara VPC1'e açık hale gelebilir.
Çözüm: Sınır güvenliğini güçlendirmek için ağ ACL'si kullanın
Net bir güvenlik sınırı oluşturmak için VPC2'de VPC1'e bağlanan vSwitch üzerinde bir ağ ACL'si yapılandırın. Ağ ACL'si, alt ağ düzeyinde çalışan durum bilgisi tutmayan bir paket filtresidir. Alt ağ güvenlik duvarı gibi davranır ve güvenlik gruplarından önce uygulanır.
Yapılandırma ilkesi aşağıdaki gibidir:
Varsayılan olarak reddet: VPC1'den (10.200.0.0/16) gelen tüm trafiği ve VPC1'e giden tüm trafiği reddeden varsayılan bir kural ayarlayın. Bu, iki VPC'nin açık izin olmadan iletişim kuramayacağı güvenli bir temel oluşturur.
-
Belirli trafiğe izin ver: VPC1 (10.200.0.0/16) ile VPC2'deki hedef küme (10.1.38.0/24) arasında 80 numaralı bağlantı noktasında çift yönlü iletişime izin veren daha yüksek öncelikli kurallar ekleyin.
Gelen kuralı: 10.200.0.0/16 kaynağından 10.1.38.0/24 hedefine yönelik 80 numaralı bağlantı noktasındaki gelen TCP trafiğine izin verin.
Giden kuralı: 10.1.38.0/24 kaynağından 10.200.0.0/16 hedefine, geçici bir bağlantı noktası aralığında giden TCP yanıt trafiğine izin verin.
Bu yapılandırmayla vSwitch, yetkisiz istekleri ilk olarak ağ ACL'si kullanarak filtreler. Yalnızca açıkça izin verilen trafik ECS örneklerine ulaşır. Bazı güvenlik grubu kuralları hatalı olsa bile örnekler VPC1'e karşı korunmuş olur.