c2.15 Segmentar redes con VPCs
Una vez que un adversario tiene acceso inicial, su capacidad de moverse lateralmente depende de la alcanzabilidad de la red. Separe las cargas en VPCs y subredes, exponga solo lo que realmente necesita acceso público y mantenga bases de datos y capas internas en privado para reducir el radio de impacto.
Guía de implementación
Público solo donde se requiere
Coloque en subredes públicas solo los recursos que realmente necesitan acceso público de entrada (como un servidor web público) y mantenga todo lo demás —bases de datos, capas de aplicación— en subredes privadas. Cuando una instancia privada necesite salida a internet (para actualizaciones), enrútela mediante un NAT gateway en lugar de darle una IP pública.
La alcanzabilidad define el radio de impacto
Tras el acceso inicial, el movimiento lateral de un adversario está limitado por lo que la red le permite alcanzar. Estructure el acceso por capas con security groups; por ejemplo, permita la base de datos solo desde el security group de la capa web, de modo que una nueva instancia de autoscaling herede el acceso correcto automáticamente. Aislar cargas en múltiples VPCs y cuentas contiene un ataque a una sola VPC/cuenta.
Conecte de forma deliberada
Conecte una VPC a on-premises (VPN, idealmente sobre AWS Direct Connect) solo cuando esa VPC realmente necesite acceso on-premises; no conecte todo "para el futuro". Use VPC peering cuando lo necesite, pero manténgalo mínimo por la misma razón.
Relacionado
Combine las capas de red con security groups de mínimo privilegio y una estructura multi-cuenta.
Cómo encaja
Cómo validar
- ¿Cómo se organizan las cargas: múltiples cuentas, múltiples VPCs?
- ¿Las cargas críticas están separadas del resto de la organización?
- ¿Las subredes públicas se limitan a recursos que realmente necesitan acceso público de entrada?
Amenazas que atiende
- Si las cargas no se separan en VPCs (y cuentas), el radio de impacto tras un compromiso es mucho mayor porque el adversario puede alcanzar más de la red.
Servicios AWS
Amazon VPC 
AWS Firewall Manager