Группа безопасности 1: купить недорого в интернет-магазине Сантех-БРО| Цены на группу безопасности 1″

Непрерывное управление облаком на основе ИИ

Передовой опыт

Несмотря на то, что группы безопасности являются одним из основных ресурсов, доступных в AWS, следует уделить должное внимание и внимание, чтобы обеспечить их правильную настройку. Вот шесть лучших практик, которые помогут в этом процессе.

Избегайте использования группы безопасности «по умолчанию»

Группу безопасности «по умолчанию» не следует использовать для активных ресурсов. Это связано с тем, что ему могут быть непреднамеренно назначены новые ресурсы AWS, что приведет к несанкционированному доступу к конфиденциальным материалам. Поскольку его нельзя удалить, вместо этого удалите все входящие и исходящие правила в группе «по умолчанию». Затем создайте новые группы безопасности для своих ресурсов AWS. Это также гарантирует, что любые новые ресурсы AWS должны быть назначены правильной группе (группам) безопасности, поскольку связь через группу по умолчанию будет невозможной.

Сведите количество групп безопасности к минимуму

По умолчанию мастер запуска AWS EC2 предложит вам создать новую группу безопасности для каждого инстанса EC2. Проблема здесь в том, что это в конечном итоге приводит к созданию многочисленных групп безопасности, которыми впоследствии становится трудно управлять и отслеживать. Вместо этого используйте стратегию, которая создает группы безопасности на основе требований к доступу приложений, а затем назначает их соответствующим образом.

Ограничить, ограничить, ограничить

Убедитесь, что все новые группы безопасности применяют принцип наименьших привилегий:

• не открывайте входящий трафик для всего диапазона или подсети VPC CIDR, если это не является абсолютно необходимым, и избегайте разрешения всех IP-адресов (0.0.0.0/0), если только они не полностью необходимый. Например, если вы разрешаете входящий SSH-доступ к экземпляру Linux для целей управления, ограничьте этот трафик общедоступными IP-адресами этих конкретных источников
.
• убедитесь, что исходящий трафик ограничен, где это возможно, например. не открывайте все порты в Интернет, вместо этого используйте только HTTP/HTTPS, чтобы разрешить просмотр в Интернете. Если разрешается конкретная служба, открывайте только те порты и протоколы, которые относятся к этой службе. Например, для DNS откройте порт 53 и для TCP, и для UDP, и только для внешнего провайдера DNS (например, 8.8.8.8/32 для Google)
• открывает соответствующие порты и протоколы для других групп безопасности, а не для IP-адресов/подсетей. Это связано с тем, что AWS предпочитает и рекомендует динамические IP-адреса. См. приведенный ниже пример, в котором балансировщику нагрузки разрешено взаимодействовать со всеми веб-серверами в группе автоматического масштабирования с использованием HTTP, которым, в свою очередь, разрешено взаимодействовать со всеми базами данных MySQL в кластере через порт 3306/TCP
.

Правила группы безопасности, разрешающие трафик от и к другой группе безопасности

Снимок экрана из консоли AWS, показывающий группы ресурсов с доступом к другим группам ресурсов и из них

Разработайте стратегию группы безопасности

Определите четкую стратегию создания и использования групп безопасности на основе требований вашего приложения. Затем используйте инструменты AWS для обеспечения соблюдения требований. Примеры вариантов, которые следует учитывать для вашей стратегии:

• установите наилучший способ настройки групп безопасности. Например:
  1. одну группу безопасности для каждого типа службы, например «rdp-access», «ssh-access», «web», «active-directory», «mysql-db», а затем назначьте соответствующие входящие и исходящие порты для этого сервис
  2. по одной группе безопасности для каждого типа приложения, например «веб-серверы», «серверы БД», «файловые серверы», а затем назначьте соответствующие порты для этого приложения
  3. по одной группе безопасности для каждой операционной системы, такой как «windows» или «ubuntu-linux», а затем назначьте порты, общие для этой ОС.

💡 Совет: вы можете разделить их на внутренние и внешние системы, что обеспечит еще большую гибкость.

• создайте одну или две группы по умолчанию, которые охватывают требования доступа, общие для всех серверов в VPC. Затем принудительно назначьте их всем ресурсам, созданным в этом VPC (примечание: это должны быть новые группы, и их не следует путать с автоматически созданной группой AWS «по умолчанию», о которой говорилось ранее). Это помогает свести к минимуму общее количество необходимых групп безопасности. Например:
  1. , если все экземпляры должны использовать исходящий трафик с использованием HTTP/HTTPS для работы в Интернете
  2. , если все экземпляры должны разрешить входящий порт для системы мониторинга. Это может быть связано с группой безопасности «отслеживание», которая имеет исходящий доступ к пользовательской группе (группам) VPC по умолчанию
  .
• стратегия должна быть направлена ​​на минимизацию количества групп безопасности, созданных и назначенных ресурсам AWS. В противном случае чрезмерное разрастание групп безопасности затруднит управление и устранение неполадок
• используйте стратегию именования, обеспечивающую ясность и позволяющую избежать путаницы. Помните, что возможно иметь несколько одноранговых VPC. Таким образом, если у каждого VPC есть группа безопасности, называемая «веб-серверами», будет сложно отслеживать, какой из них какой
.

Упрощение управления

С течением времени и усложнением среды управление группами безопасности может становиться все более требовательным. Важно внедрить стратегии и наборы инструментов как можно раньше, чтобы гарантировать, что безопасность не будет поставлена ​​под угрозу из-за административных ошибок. Ниже приведены некоторые рекомендуемые подходы:

• Как и в случае с другими облачными ресурсами, рекомендуется развертывать группы безопасности и управлять ими с помощью решения «Инфраструктура как код», такого как AWS CloudFormation или Hashicorp Terraform. Эти инструменты упрощают внесение сложных изменений в развертывание и упрощают обеспечение соблюдения нормативных требований. Неутвержденные изменения теперь можно быстро идентифицировать и отменить
• используйте управляемые списки префиксов для группировки диапазонов адресов IPv4/IPv6, чтобы упростить правила безопасности. Сами AWS используют эти списки, чтобы разрешить трафик к сервисам AWS, таким как S3. Например, управляемый список префиксов может быть создан для ведения списка внутренних подсетей, используемых в крупной корпорации, или для предоставления доступа доверенным сторонним внешним клиентам

Снимок экрана, показывающий IP-адреса AWS S3 в списке управляемых префиксов в консоли AWS

• AWS Firewall Manager — это инструмент, который можно использовать для создания групповых политик безопасности и связывания их с учетными записями и ресурсами. Он также может отслеживать, управлять и поддерживать политики для всех связанных учетных записей
.

Разработать и внедрить решение для мониторинга и соблюдения требований группы безопасности

Недостаточно просто разработать стратегию группы безопасности на основе лучших практик. Также необходимо принять меры по мониторингу и исправлению, которые гарантируют сохранение передового опыта. Ниже приведены примеры вспомогательных инструментов, которые могут помочь:

• AWS Security Hub работает с CloudTrail и CloudWatch, чтобы отслеживать и инициировать оповещения на основе оповещений с рекомендациями по безопасности. Одна вещь, на которую следует обратить внимание, — это скорость изменений в правилах группы безопасности — отмечайте подозрительную активность для расследования, например, открытие и повторное закрытие портов в течение короткого промежутка времени
• AWS Config используется для обеспечения соответствия ключевым рекомендациям. Правила конфигурации могут быть созданы для проверки и оповещения о несоответствии, а затем для выполнения автоматических действий по исправлению. Например, проверка неограниченных правил группы безопасности и обеспечение того, чтобы группа безопасности «по умолчанию» не имела входящих или исходящих правил
• для сложных сред используйте инфраструктуру как код вместе с AWS Lambda и инструментами разработчика AWS (CodeCommit / CodeBuild / CodePipelines) для автоматического исправления несанкционированных изменений, сделанных в консоли AWS.
• , наконец, убедитесь, что политики безопасности IAM настроены на ограничение доступа администратора для внесения этих изменений. Например, ограничьте доступ для изменения правил группы безопасности программной ролью, которую затем должен взять на себя пользователь IAM. Эта деятельность может отслеживаться и контролироваться для обеспечения соответствия.

Проблемы

Использование инфраструктуры как кода упоминается несколько раз в приведенных выше рекомендациях, а также мониторинг и отслеживание несанкционированных изменений. Даже если они реализованы, если эти процессы выполняются вручную, они становятся трудоемкими и не масштабируемыми.

Чтобы смягчить это, решающее значение имеет сквозная автоматизация процесса. Автоматизированные конвейеры непрерывной интеграции и разработки (CI/CD) обеспечивают обязательный процесс утверждения нового кода при совершении после первоначальных проверок кода. Автоматизированные модульные и тесты, а также проверка уязвимостей системы безопасности обеспечивают правильность и безопасность кода. Для производственных сред конвейеры могут вводить ручные проверки утверждения для дополнительного спокойствия. После утверждения конвейер автоматически запускает развертывание новой инфраструктуры. Можно создать дополнительные автоматизированные конвейеры для периодического отслеживания несанкционированных изменений, которые отклоняются от текущей кодовой базы, хранящейся в репозитории, и либо уведомлять об этом, либо автоматически отменять эти изменения.

Непрерывное управление облаком на основе ИИ

Заключение

Группы безопасности являются важной частью защиты входящего и исходящего сетевого трафика в VPC.