Güvenlik grubu kuralları ve mikro segmentasyon ile ECS örnekleri arasındaki iç ağ erişimini kontrol edin.
Güvenlik riskleri
Varsayılan olarak aynı VPC içindeki tüm ECS örnekleri tam ağ bağlantısına sahiptir. Bu durum yanal hareket ve yetkisiz erişim gibi güvenlik riskleri oluşturur. Örneğin güvenliği ihlal edilmiş bir örnek tehditleri aynı ağdaki diğer örneklere yayabilir. Dahili hizmetler genellikle zayıf kimlik doğrulama ve yetkilendirme mekanizmalarına sahip olduğundan kolay hedefler haline gelir.
Bu riskleri azaltmak için güvenlik grupları hizmet kümelerini izole eder ve örnekler arasındaki yanal erişimi engeller.
En iyi uygulamalar
Hizmet kümelerini güvenlik gruplarıyla izole edin
Bir veritabanı kümesi ve bir web sunucusu kümesi olmak üzere iki ECS örnek kümesini ele alalım. Veritabanı kümesindeki örneklerin birbirleriyle iletişim kurması gerekir ancak web sunucusu kümesindeki örneklerin böyle bir ihtiyacı yoktur. Amaç web sunucusu kümesinin yalnızca veritabanı kümesinin hizmet portlarına erişmesine izin vermektir.
Veritabanı kümesinin 10.1.0.0/24 web sunucusu kümesinin ise 10.2.0.0/24 adres aralığını kullandığını varsayalım. Hizmet portu 5432'dir (PostgreSQL varsayılanı). Amaç yalnızca web sunucusu kümesinin veritabanı kümesindeki 5432 numaralı porta erişmesine izin vermek ve diğer tüm erişimleri reddetmektir. Olası bir yapılandırma şu şekildedir:
Güvenlik Grubu A'yı oluşturun. 10.2.0.0/24 kaynağından hedef port 5432'ye gelen trafiğe izin veren ve önceliği 1 olan bir gelen kuralı ekleyin. Veritabanı kümesi örneklerini Güvenlik Grubu A'ya ekleyin.
Güvenlik Grubu B'yi oluşturun. Web sunucusu kümesi örneklerini Güvenlik Grubu B'ye ekleyin.
Not: Varsayılan olarak bir güvenlik grubu açıkça izin verilmeyen tüm gelen trafiği reddeder ve açıkça reddedilmeyen tüm giden trafiğe izin verir. Güvenlik Grubu A için ek bir reddetme kuralına ve Güvenlik Grubu B için bir izin kuralına gerek yoktur.
ECS örneklerini bir güvenlik grubuna toplu iş olarak eklemek için etiketleri kullanabilirsiniz. Örneğin tüm veritabanı kümesi örneklerine ve Güvenlik Grubu A'ya cluster:PostgreSQL etiketini ekleyin ardından etiket değerini parametre olarak kullanarak ACS-ECS-CorrectSecurityGroupInstancesByTags OOS şablonunu çalıştırın. Bkz. ECS örneklerini bulmak ve bunları aynı etikete sahip bir güvenlik grubuna eklemek için etiketleri kullanma.
Bir güvenlik grubu içindeki örnekleri izole edin
Önceki örnekte web sunucusu örneklerinin birbirleriyle iletişim kurmasına gerek yoktur ve veritabanı kümesinin senkronizasyon ve yönetim için yalnızca birkaç porta ihtiyacı vardır. Tüm dahili iletişime izin vermek gereksizdir ve yanal hareket riskini artırır.
Mikro segmentasyon varsayılan olarak bir güvenlik grubundaki örnekler arasındaki tüm iletişimi engeller. Belirli portlara açıkça izin vermeniz gerekir.
Kurumsal güvenlik grupları: Dahili izolasyon zorunludur ve değiştirilemez.
Temel güvenlik grupları: Varsayılan olarak örnekler birbirleriyle iletişim kurabilir. Sistem en yüksek önceliğe sahip gizli bir izin kuralı ekler ve özel kurallar yalnızca harici trafik için geçerli olur. Dahili iletişimi devre dışı bırakmak için güvenlik grubu ürün sayfasında dahili bağlantı ilkesini dahili izolasyon olarak değiştirin.
Ardından gerekli dahili portlardaki trafiğe açıkça izin verin. Örneğin veritabanı kümesi (10.1.0.0/24) dahili iletişim için 2379 numaralı portu gerektiriyorsa Güvenlik Grubu A'ya 10.1.0.0/24 kaynağından hedef port 2379'a gelen trafiğe izin veren ve önceliği 1 olan bir kural ekleyin.
Not: Bir örnek biri dahili trafiğe izin veren diğeri ise izolasyonu zorunlu kılan birden çok güvenlik grubuna aitse birleşik etki dahili trafiğe izin verilmesi yönünde olur.
Birden çok güvenlik grubunun birleşik etkisini gözden geçirin
Bir örnek birden çok güvenlik grubuna ait olabilir. Tüm gruplardan gelen kurallar birleştirilir ve önceliğe göre uygulanır. Beklenmeyen sonuçlardan kaçınmak için örneğin güvenlik grubu sayfasındaki son birleşik kuralları gözden geçirin.
Örnek ayrıntıları sayfasında Security Groups sekmesine tıklayın ve ardından All Inbound Rules on Intranet alt sekmesini seçin. Burada ilişkili tüm güvenlik gruplarından gelen konsolide kural listesini görüntüleyebilirsiniz. Liste; Priority Action Protocol Port Range ve Source gibi sütunlar içerir.
Uyumluluk
Aşırı izin veren kuralları kontrol edin
VPC flow logs ile iletişim kalıplarını analiz ederek aşırı izin veren güvenlik grubu kurallarını belirleyin ve izinleri sıkılaştırın.