EC2-Sicherheitsgruppe betreffen

Question

EC2 -> RDS:

RDS (DB Motor): Ich habe inbound und outbound offen auf Port 3306 für die Sicherheitsgruppe des Web-Servers.

EC2 (Webserver): Ich habe eingehenden für 80, 443 und 22 (myIP). Outbound ist für 80.443 und 3306 offen, und es benötigt auch den gesamten Verkehr, um richtig zu funktionieren.

Meine Frage betrifft die ausgehenden Regeln meines Webservers. Warum muss der gesamte Verkehr geöffnet sein? Hat das Sicherheitsbedenken?

Answer 1

Einige Benutzer sperren ausgehende Daten, um Datenverlust zu vermeiden. Es funktioniert besser für unveränderliche Architektur, da Sie die Möglichkeit, Pakete aus öffentlichen Quellen zu aktualisieren, entfernt haben.

Offensichtlich können Sie Ihr eigenes Sicherheitsprofil wählen; allgemein gesprochen halte ich dies das Niveau der Sicherheit:

1. Anschluss 22 offen für die Welt
2. Hafen 22 Zugang von weißen Liste IPs
3. Bastion Host mit weißen Liste IPs
4. VPN (von hier nach unten, alle mit VPN)
5. privaten IPs + NAT
6. Proxies Server ausgehenden Zugriff

Das ist mein ec2-Sicherheitsreife-Modell. Ich bin mir sicher, dass ich etwas verpasst habe.

Answer 2

Die Ausgangsregeln für Sicherheitsgruppen ermöglichen die Angabe von "Ziel", nicht Quelle. Im Grunde brauchen Sie sich keine Sorgen zu machen, wenn Sie den Denial-of-Server durch die ausgehenden Regeln attackieren.

Auf der anderen Seite, wenn Ihr Webserver keine Verbindung zum Internet ohne Einschränkung herstellen muss, dann setzen Sie 80 + 443 Ziel auf 0.0.0.0/0.

Wenn Ihr Webserver nur eine Verbindung zu Betriebssystem-Repositorys für Sicherheitsupdates herstellen muss (z. B. Ubuntu, Apache usw.), können Sie die IP-Adresse des Repositorys explizit angeben, anstatt 0.0.0.0/0 zu verwenden.

Ansonsten besteht nur ein geringes Risiko. Es sei denn, Sie laden etwas, das die Webseite darstellt, z. laden Web-Browser in den Webserver, die zufällige Webseite lesen, dann machen Sie anfällig für Browser/Java-Engine/Rendering Engine Exploit: wenn Exploit so etwas wie ssh Reverse Tunnel ausführen kann, dann gibt es Möglichkeiten, dass Angreifer Zugriff auf Ihren Webserver erhalten .