Segurança de rede
Controles em camadas, da borda até cada instância. Parte do Domínio 1: Design Secure Architectures, 30% do conteúdo pontuado.
O roteamento define o tipo da subnet. Deixe públicos só load balancers e gateways, e coloque as camadas de aplicação e dados em subnets privadas.
Pontos-chave
- Subnet pública: tem rota direta para um internet gateway.
- Subnet privada: sem rota direta para um internet gateway. Só chega à internet por meio de um NAT.
- Subnet isolada: nenhuma rota para fora da VPC. Uma subnet só de VPN roteia para uma Site-to-Site VPN por um virtual private gateway.
- NAT gateway zonal: permite que recursos privados abram conexões de saída, nunca de entrada. Fica numa subnet pública com Elastic IP, então crie um por AZ. 5 Gbps escalando até 100 Gbps.
- NAT gateway regional: se expande sozinho entre AZs e dispensa subnet pública, mas não suporta NAT privado.
- IPv6: um egress-only internet gateway dá saída IPv6 sem permitir entrada.
Na prova
"Instâncias precisam baixar patches mas não podem ser alcançadas pela internet" -> subnet privada com rota para um NAT gateway. NAT gateway não aceita security group, então filtre com os security groups das instâncias e NACLs.
Security groups são o filtro principal, stateful, na instância. Network ACLs são um guardrail stateless na subnet que também pode negar.
Pontos-chave
- Security groups: só regras de allow, todas avaliadas, tráfego de retorno liberado automaticamente. As regras podem referenciar outros security groups, ideal para liberar uma camada para outra.
- Saída padrão: o security group vem com uma regra de saída padrão que libera todo o tráfego.
- Network ACLs: regras de allow e deny numeradas de 1 a 32766, avaliadas a partir do menor número até a primeira correspondência.
- Stateless: o tráfego de retorno precisa ser liberado explicitamente, em geral as portas efêmeras 1024-65535.
- Padrões: a NACL padrão libera todo o tráfego. Uma NACL customizada nova nega tudo pela regra final
*até você adicionar regras. - Bloquear um IP: só a NACL consegue negar uma faixa de endereços, porque security groups não têm regras de deny.
Na prova
"Bloquear agora uma faixa de IP maliciosa" -> regra de deny na NACL (ou AWS WAF para HTTP). "Liberar a camada de aplicação só para a camada web" -> security group que referencia o security group da camada web.
Security groups vs network ACLs
| Característica | Security group e network ACL |
|---|---|
| Nível |
|
| Regras |
|
| Avaliação |
|
| Tráfego de retorno |
|
Acesse serviços da AWS e endpoint services de forma privada, sem internet gateway, sem NAT e sem IP público.
Pontos-chave
- Gateway endpoint: só para S3 e DynamoDB. Uma entrada na route table que aponta para a prefix list do serviço, sem cobrança adicional.
- Interface endpoint: interfaces de rede do AWS PrivateLink com IPs privados nas suas subnets, protegidas por security groups e cobradas.
- Alcance: só interface endpoints atendem o on-premises via Direct Connect ou VPN e outras Regiões via peering ou Transit Gateway.
- Endpoint policy: política de recurso no endpoint que limita os principals e recursos acessíveis por ele. A padrão libera tudo.
- Trancar o bucket: uma bucket policy do S3 com a condição
aws:sourceVpcenega requisições que não passam pelo seu endpoint. - Gateway Load Balancer endpoint: envia o tráfego para uma frota de appliances de inspeção.
Na prova
"Instâncias privadas precisam acessar o S3 sem custo de dados do NAT gateway" -> gateway endpoint do S3. "Servidores on-premises no Direct Connect precisam acessar o S3 de forma privada" -> interface endpoint do S3.
Gateway vs interface endpoint para o S3
| Aspecto | Gateway e interface |
|---|---|
| Endereçamento |
|
| On-premises |
|
| Outras Regiões |
|
| Custo |
|
Firewall de aplicação web na camada 7 que inspeciona requisições HTTP(S) antes que cheguem ao CloudFront, a um ALB, ao API Gateway ou a outra porta de entrada.
Pontos-chave
- Recursos protegidos: distribuições do CloudFront, Application Load Balancers, REST APIs do API Gateway, APIs GraphQL do AppSync, user pools do Cognito, serviços do App Runner, instâncias do Verified Access e Amplify.
- Vetores de ameaça: instruções de correspondência para SQL injection e cross-site scripting (XSS), além dos rule groups do AWS Managed Rules.
- Rate-based rules: contam requisições por chave de agregação e limitam as que chegam rápido demais, uma defesa contra HTTP floods.
- Geo e IP: as instruções de geographic match e IP set match liberam ou bloqueiam por país ou faixa de endereços.
- Respostas: uma requisição bloqueada recebe HTTP 403 ou uma resposta customizada.
Na prova
"Bloquear SQL injection e XSS contra a aplicação web" -> AWS WAF no ALB ou no CloudFront. Security groups e NACLs não inspecionam o conteúdo HTTP, e o WAF não se associa a um Network Load Balancer.
Proteção gerenciada contra DDoS. O Standard é automático e sem custo para todo cliente, o Advanced acrescenta resposta especializada e proteção de custos para aplicações críticas.
Pontos-chave
- Shield Standard: automático e gratuito, defende contra os ataques mais comuns nas camadas de rede e transporte (3 e 4), como SYN floods e reflexão UDP.
- Shield Advanced: protege Elastic IPs, Elastic Load Balancing, CloudFront, Global Accelerator e Route 53, e acrescenta mitigação na camada 7 via AWS WAF.
- Shield Response Team: acesso 24/7 para clientes com plano de suporte Business ou Enterprise.
- Proteção de custos: créditos para cobranças de escalonamento causadas por um ataque DDoS.
- Preço: US$ 3.000 por mês com compromisso de 1 ano, cobrado por conta pagadora, incluindo uso do AWS WAF nos recursos protegidos até um limite.
- Detecção por saúde: health checks do Route 53 associados aos recursos protegidos detectam ataques mais cedo.
Na prova
"Especialistas em DDoS de plantão e nada de conta surpresa depois de um ataque" -> Shield Advanced. Se a pergunta só pede proteção básica contra DDoS sem custo, o Shield Standard já está ativo.
Firewall stateful gerenciado com prevenção de intrusão para o perímetro da VPC, no tráfego por internet gateways, NAT gateways, VPN e Direct Connect.
Pontos-chave
- Regras: rule groups stateless e stateful, regras IPS compatíveis com Suricata, regras de 5-tupla e filtragem por domínio.
- Implantação: endpoints do firewall numa subnet dedicada em cada AZ, com route tables desviando o tráfego por eles.
- Casos de uso: permitir saída só para domínios aprovados, inspeção profunda de pacotes, inspeção norte-sul e leste-oeste.
- Inspeção TLS: descriptografa e criptografa de novo o tráfego com um certificado do ACM.
- Em escala: o Firewall Manager implanta firewalls entre contas, e as políticas de firewall podem ser compartilhadas pelo AWS RAM.
Na prova
"Filtrar a saída de todas as VPCs por nome de domínio, com assinaturas de IPS" -> Network Firewall. O WAF cobre só HTTP(S) na porta de entrada da aplicação.
Firewall Manager
AWS Firewall Manager
Políticas de firewall centrais para todas as contas de uma organização, aplicadas automaticamente a contas e recursos novos.
Pontos-chave
- Tipos de política: AWS WAF, Shield Advanced, security groups da VPC, network ACLs, Network Firewall e Route 53 Resolver DNS Firewall.
- Cobertura automática: contas e recursos novos dentro do escopo recebem a proteção assim que aparecem.
- Escopo: todos os recursos de um tipo, recursos com tags específicas ou contas escolhidas.
- Requisitos: atua sobre uma organização do AWS Organizations. As cobranças vêm dos serviços por baixo, como AWS WAF e AWS Config.
- Administrador: uma conta administradora do Firewall Manager, que pode ser uma conta membro delegada.
Na prova
"Todo ALB de toda conta precisa ter sempre as regras de WAF corporativas, inclusive em contas futuras" -> Firewall Manager. Configurar o WAF conta por conta não escala.
Proteja o tráfego entre o on-premises e a AWS. A Site-to-Site VPN criptografa pela internet, já o Direct Connect é privado, mas não é criptografado por padrão.
Pontos-chave
- Site-to-Site VPN: túneis IPsec até um virtual private gateway ou um transit gateway. Cada conexão tem 2 túneis para alta disponibilidade.
- Banda por túnel: 1,25 Gbps por túnel, ou até 5 Gbps com large bandwidth tunnels no Transit Gateway ou no Cloud WAN.
- Direct Connect: conectividade privada dedicada, mas o tráfego em trânsito não é criptografado por padrão.
- MACsec: criptografia na camada 2 entre o seu roteador e a localização do Direct Connect, em conexões dedicadas de 10, 100 e 400 Gbps.
- VPN sobre Direct Connect: uma VPN IPsec pelo link do Direct Connect acrescenta criptografia mantendo o desempenho de rede consistente.
Na prova
"O tráfego pelo Direct Connect precisa ser criptografado" -> MACsec numa conexão dedicada suportada ou VPN IPsec sobre o Direct Connect. Só o Direct Connect não atende a um requisito de criptografia.