在AWS中建立网络分割案例

2019 年 10 月 10 日 FreeBuf

网络分割最简单的示例是使用防火墙分离应用程序和基础结构组件。这个概念现在是构建数据中心和应用程序架构中提出的。但如果没有合适的网络分割模型，几乎不可能找到企业案例。

网络分割的最佳实案例需要以下功能：

1、入侵检测和预防系统（ids和ips），基于已知的cve、行为模式和行业智能来检测和阻止恶意流量

2、防病毒和恶意软件检测，以检测和阻止流量中的病毒和恶意软件行为

3、沙箱，在“安全”的虚拟环境中执行和处理流量，以观察结果

4、用于检测和阻止基于应用程序威胁的web防火墙

5、分布式拒绝服务（DDoS）保护以阻止暴力和拒绝服务攻击

6、ssl解密和监视

在本地场景中，下一代防火墙提供了这些功能的大部分。理想情况下，防火墙只允许有效端口上的通信，这些防火墙可以检查所有端口上的流量，包括打开的有效端口（例如80443）。

如何在aws中实现网络分割

假设在aws上运行的示例应用程序有四个组件：s3内容、lambda、在ec2实例上运行的自定义数据处理组件和几个rds实例。它们反映了三个网络分割区域：web、应用程序和数据。

入站流量被发送到s3中的静态或动态页面。这些页面启动lambda来操作和转换提供的数据。lambda调用在ec2实例上运行的自定义逻辑。lambda和ec2系统与多个rds数据库交互，以丰富和存储各种格式的数据。在现实环境中，这些组件将使用许多aws配置和策略。

在程序开发人员放松安全控制情况下，下图显示了此非安全流和网络区域覆盖：

分割需求需要多个aws配置，包括：

1、AWS防护；

2、AWS WAF；

3、VPC——专用子网；

4、VPC——公共子网；

5、VPC——互联网网关；

6、VPC—路由表；

7、VPC——安全组；

8、VPC——网络负载均衡器；

9、下一代防火墙；

10、AWS云监视；

网络分割工作原理

入站流量请求首先由aws进行处理，禁止DDoS攻击和某些其他干扰向量。然后aws waf分析该请求，以限制sql插入、扫描各种cve和ip白名单。然后，入站流量被发送到s3。

接下来，lambda操作并转换提供的数据。所有这些处理都是在aws中的公共访问服务中完成的。下一步交由在vpc处理。

来自lambda的流量通过internet网关发送，然后路由到网络负载平衡器。负载平衡器重定向到几个虚拟防火墙之一。为设计多个防火墙是为了冗余和容量。这些防火墙应用ids/ips、恶意软件、沙箱，ssl解密，以便通进行数据包级别的检查。

接下来，请求被发送到vpc路由表。路由表应用安全组策略，这些策略限制通信源、目标、端口和路由，以确保只有特定的服务可以通信。此路由表还区分了公共子网（即，ec2应用服务器，外部可访问）和私有子网（即数据库）。vpc完成的所有处理都被捕获在vpc流日志中，并存储到SIEM系统，SIEM系统很可能托管在本地或其他地方。