Vse o varnostnih skupinah Amazon Web Services (AWS)

Spletne storitve Amazon (AWS) veljajo za najbolj celovito in splošno sprejeto platformo v oblaku na svetu. Ponujajo široko in zanesljivo paleto tehnološke infrastrukture, prilagodljive storitve računalništva v oblaku, ki so na zahtevo milijonov potrošnikov na podlagi merjenja plačila po porabi. Seveda lahko s to stopnjo prefinjenosti pride do nekaterih pomislekov glede varnosti, ki jih imajo potrošniki. V tem članku bom govoril o tem, kaj so varnostne skupine Amazon Web Services in kako jih lahko uporabimo za zaščito vaših Primeri EC2 na AWS.

Kaj je varnostna skupina AWS?

An Amazonka Spletna storitev varnostna skupina je preprosto navidezni požarni zid za vaš primerek za nadzor (filtriranje) dohodnega in odhodnega prometa.

Kako ustvariti varnostne skupine AWS

Obstaja več načinov za ustvarjanje Amazon Web Service Security Group, od katerih je eden prek upravljalne konzole AWS, druga metoda pa prek vmesnika ukazne vrstice Amazon Web Service (CLI).

V tem članku vam bom predstavil, kako iz upravljalne konzole AWS ustvarite varnostno skupino.

1. Prijavite se v svoj Konzola za upravljanje AWS.
2. Izberite storitev EC2.
3. Izberite »Varnostne skupine«, najdemo ga v kategoriji »Omrežje in varnost«.
4. Kliknite gumb »Ustvari varnostno skupino«.
5. Vnesite ime in opis varnostne skupine.
6. Izberite ustrezen VPC.
7. Dodajte in konfigurirajte svoja pravila.

Kako nastaviti in optimizirati varnostne skupine AWS

Tu je nekaj nasvetov za konfiguriranje novih varnostnih skupin v AWS in optimizacijo obstoječih.

Odstrani neuporabljene skupine

Morda ste ustvarili varnostno skupino za izvajanje preizkusa, medtem ko ste poskušali ugotoviti, kako delujejo varnostne skupine. Priporočljivo je, da odstranite / izbrišete katero koli neuporabljeno varnostno skupino.

Omogoči opozarjanje in sledenje

Spletne storitve Amazon prihajajo z izvrstnim orodjem AWS Cloudtrail, ki svojim uporabnikom omogoča sledenje, nenehno spremljajte in obdržite dejavnost računa, povezano z dejanji, izvedenimi v vašem AWS infrastrukture.

Izogibajte se vhodnemu prometu prek 0.0.0.0/0

Kot smo že omenili, mora biti uporaba vrednosti 0.0.0.0/0 kjer koli odvisna od potrebe in popolnega razumevanja tega, kar počnete.

Priporočljivo je, da se tega popolnoma izogibate, ker bi lahko na koncu izpostavili občutljive podatke zunanjemu svetu.

Najboljša praksa je, da omogočite dostop samo do določenih obsegov protokolov in vrat; to zagotavlja, da bodo ostali dohodni paketi odstranjeni.

Vloge varnostnih skupin Amazon Web Services

Kot sem že omenil, so varnostne skupine v bistvu navidezni požarni zidovi in ​​delujejo kot taki. Zagotavljanje varnosti primerku Amazon Web Service EC2 s filtriranjem vhodnega in odhodnega prometa na ravni protokola in vrat.

Vsaka varnostna skupina (beri: požarni zid) se nekoliko razlikuje od seznamov za nadzor dostopa do omrežja (NACL), saj nima pravila »Zavrni«. Kaj to pomeni, bodo paketi izpuščeni, če jim ne bi bila dodeljena posebna pravila.

Pri ustvarjanju varnostne skupine je vaš glavni cilj omejiti dostop, tako da lahko tudi pomagate vzdrževati vhod in izhod prometa. Prav tako bi si morali prizadevati, da bi vsaki skupini dali zelo značilno ime in opis, da bi zmanjšali možnosti za napake.

Pravila varnostne skupine

Pravila v varnostnih skupinah Amazon Web Service so preprosto način filtriranja dovoljenega vhodnega in odhodnega prometa. Lahko jih tudi štejete za način odobritve ali preklica dohodnega in odhodnega dostopa.

Dostopite lahko do določenih varnostnih skupin, naslovov IPv4 ali IPv4 ali določenih CIDR (Brezrazredno usmerjanje med domenami) obseg.

Tu je nekaj osnovnih pravil varnostne skupine:

• Samodejni cilj: Kadar koli dodate pravilo varnostne skupine z vmesnikom ukazne vrstice Amazon Web Service (CLI), AWS samodejno nastavi ciljni blok CIDR na kanonični obrazec.
• Strogo vhodna pravila: To velja za kateri koli vir prometa, ki se premakne v vaš virtualni zasebni VPC v oblaku. Ti viri so lahko druga varnostna skupina ali en naslov IPv4 ali IPv6.
• Pravila odhodne pošte: Pravila o odhodu obravnavajo cilj dohodnega prometa. Lahko jih preusmerijo v drugo varnostno skupino, blok CIDR ali en naslov IPv4 ali IPv6.

Pravila skupine za vhodno in odhodno varnost vključujejo pet različnih področij: Vir, Protokol, Port Range & Opis.

Vir

Običajno gre za naslov IP po meri, obseg podomrežja ali drugo varnostno skupino. Dostop do celotnega interneta lahko odobrite tudi, če uporabljate vrednost »kjer koli (0.0.0.0/0)«.

Uporaba vrednosti kjer koli (0.0.0.0/0) mora biti po potrebi in v celoti morate razumeti, v kaj se spuščate.

Protokol

Protokoli običajno privzeto uporabljajo TCP in so ponavadi sivi. Če delate s pravili po meri, ki ste jih ustvarili, pa lahko protokole prilagodite svojim potrebam.

Port Range

Območja vrat so običajno predhodno napolnjena. Lahko pa se odločite za delo s poljubnim obsegom vrat po vaši izbiri.

Opisi

To je polje, kamor vstavite opis pravila, ki ste ga ustvarili. Koristno je, če ga podrobno opisujete.

Amazon Web Service Varnostne skupine vam dajo v roke veliko moči, hkrati pa zagotavljajo, da stvari ostanejo varne.