c3.13 Controlar el tráfico saliente
Inspeccione el tráfico saliente (egress) para que las instancias solo alcancen destinos esperados —fuentes de actualización de SO/apps, servicios aprobados— y no URLs/IPs maliciosas ni túneles de acceso remoto. Combine filtrado DNS, un firewall de red y PrivateLink.
Guía de implementación
Por qué controlar el egress
El control de egress asegura que sus instancias se comuniquen solo donde deben, bloqueando los callbacks de malware a command-and-control y los túneles de exfiltración de datos. AWS ofrece varios controles complementarios:
Filtrado DNS
Route 53 Resolver DNS Firewall filtra el DNS saliente de una VPC. Deniegue todos los dominios excepto los que confía explícitamente; es simple de desplegar centralmente en múltiples cuentas vía AWS Firewall Manager. Bloquea la resolución de nombres en lugar de IPs, así que por sí solo un cliente que se conecta directamente a una dirección IP lo evita. Combínelo con la validación de IP resuelta (más abajo) para cerrar ese hueco. Como la mayoría de los callbacks de malware usan dominios, el filtrado DNS sigue deteniendo muchas infecciones en la etapa de descarga.
Firewall de red y caminos privados
- AWS Network Firewall inspecciona tráfico de capa 3 a 7 de entrada y salida de una VPC, y soporta inspección VPC-a-VPC (este-oeste) y on-premises.
- AWS PrivateLink mantiene el tráfico a servicios de socios o de AWS completamente fuera de internet.
- También puede desplegar un proxy de salida para allow-listing de dominios y filtrado de contenido, o un firewall de próxima generación del AWS Marketplace.
Cierre la evasión con la validación de IP resuelta
Las listas de permitidos por dominio se pueden evadir: un cliente puede conectarse directamente a una dirección IP, o presentar un dominio permitido en el SNI o el encabezado Host mientras se conecta a otro lugar. Active la validación de IP resuelta de Route 53 en la política de su Network Firewall para que el firewall solo permita conexiones cuya IP de destino haya sido realmente devuelta por su VPC Resolver. También extiende el filtrado por dominio más allá de HTTP/HTTPS a protocolos como SSH y SFTP, sin costo adicional.
- Referencie un grupo de reglas de DNS Firewall asociado a las VPCs cuyo tráfico inspecciona. Todas las VPCs asociadas aportan a un mismo pool compartido de IPs resueltas, así que deje fuera las VPCs no relacionadas.
- Empiece en modo alert (requiere el logging del firewall), revise lo que se bloquearía y luego cambie a drop o reject.
- Enrute cada subred al endpoint del firewall de su propia zona de disponibilidad, porque las resoluciones se registran por zona. En una VPC de inspección centralizada, use un firewall conectado al Transit Gateway y agregue los CIDR de las VPCs spoke como rangos de origen, ya que por defecto solo se valida el CIDR de la propia VPC del firewall.
Envíe los logs de egress a su SIEM
Envíe los logs del firewall y del proxy a su SIEM / Security Lake para detectar shadow IT y configurar alertas adicionales.
Cómo encaja
Cómo validar
- ¿Restringe el tráfico saliente a destinos esperados (DNS Firewall, Network Firewall o un proxy)?
- ¿Network Firewall bloquea las conexiones a IPs que su VPC Resolver no devolvió (validación de IP resuelta), para que las listas de permitidos por dominio no se puedan evadir conectándose directamente a una IP?
- ¿Las conexiones a socios/servicios se mantienen fuera de internet con PrivateLink cuando es posible?
- ¿Los logs de egress se envían a su SIEM para detectar shadow IT y anomalías?
Amenazas que atiende
- Sin control de egress, una instancia comprometida puede llamar libremente a servidores de command-and-control, descargar más malware o exfiltrar datos a través de un túnel saliente.
Servicios AWS
Amazon Route 53 Resolver DNS Firewall 
AWS Network Firewall 
AWS PrivateLink Precios
Vea los precios de Route 53 Resolver DNS Firewall, AWS Network Firewall y AWS PrivateLink.