c2.15 Segmentar redes com VPCs
Assim que um adversário obtém acesso inicial, sua capacidade de mover-se lateralmente depende da alcançabilidade da rede. Separe as cargas em VPCs e sub-redes, exponha apenas o que realmente precisa de acesso público e mantenha bancos de dados e camadas internas privados para reduzir o raio de impacto.
Guia de implementação
Público apenas onde necessário
Coloque em sub-redes públicas apenas os recursos que realmente precisam de acesso público de entrada (como um servidor web público) e mantenha todo o resto —bancos de dados, camadas de aplicação— em sub-redes privadas. Quando uma instância privada precisar de saída para a internet (para atualizações), roteie-a por um NAT gateway em vez de dar a ela um IP público.
A alcançabilidade determina o raio de impacto
Após o acesso inicial, o movimento lateral de um adversário é limitado pelo que a rede permite que ele alcance. Estruture o acesso em camadas com security groups; por exemplo, permita o banco de dados apenas a partir do security group da camada web, de modo que uma nova instância de autoscaling herde o acesso correto automaticamente. Isolar cargas em várias VPCs e contas contém um ataque a uma única VPC/conta.
Conecte de forma deliberada
Conecte uma VPC ao on-premises (VPN, idealmente sobre AWS Direct Connect) apenas quando essa VPC realmente precisar de acesso on-premises; não conecte tudo "para o futuro". Use VPC peering quando necessário, mas mantenha-o mínimo pela mesma razão.
Relacionado
Combine as camadas de rede com security groups de menor privilégio e uma estrutura multi-conta.
Como se encaixa
Como validar
- Como as cargas estão organizadas: várias contas, várias VPCs?
- As cargas críticas estão separadas do resto da organização?
- As sub-redes públicas estão limitadas a recursos que realmente precisam de acesso público de entrada?
Ameaças atendidas
- Se as cargas não forem separadas em VPCs (e contas), o raio de impacto após um comprometimento é muito maior porque o adversário pode alcançar mais da rede.
Serviços AWS
Amazon VPC 
AWS Firewall Manager