c3.13 Controlar o tráfego de saída
Inspecione o tráfego de saída (egress) para que as instâncias alcancem apenas destinos esperados —fontes de atualização de SO/apps, serviços aprovados— e não URLs/IPs maliciosos nem túneis de acesso remoto. Combine filtragem de DNS, um firewall de rede e o PrivateLink.
Guia de implementação
Por que controlar o egress
O controle de egress garante que suas instâncias se comuniquem apenas para onde devem, bloqueando os callbacks de malware para command-and-control e os túneis de exfiltração de dados. A AWS oferece vários controles complementares:
Filtragem de DNS
O Route 53 Resolver DNS Firewall filtra o DNS de saída de uma VPC. Negue todos os domínios exceto os que você confia explicitamente; é simples de implantar centralmente em várias contas via AWS Firewall Manager. Ele bloqueia a resolução de nomes em vez de IPs, então sozinho ele é contornado por um cliente que se conecta diretamente a um endereço IP. Combine-o com a validação de IP resolvido (abaixo) para fechar essa lacuna. Como a maioria dos callbacks de malware usa domínios, a filtragem de DNS ainda detém muitas infecções na etapa de download.
Firewall de rede e caminhos privados
- O AWS Network Firewall inspeciona tráfego de camada 3 a 7 de entrada e saída de uma VPC, e suporta inspeção VPC-a-VPC (leste-oeste) e on-premises.
- O AWS PrivateLink mantém o tráfego para serviços de parceiros ou da AWS completamente fora da internet.
- Você também pode implantar um proxy de saída para allow-listing de domínios e filtragem de conteúdo, ou um firewall de próxima geração do AWS Marketplace.
Feche o contorno com a validação de IP resolvido
As listas de permitidos por domínio podem ser contornadas: um cliente pode se conectar diretamente a um endereço IP, ou apresentar um domínio permitido no SNI ou no cabeçalho Host enquanto se conecta a outro lugar. Ative a validação de IP resolvido do Route 53 na política do seu Network Firewall para que o firewall só permita conexões cujo IP de destino tenha sido de fato retornado pelo seu VPC Resolver. Ela também estende a filtragem por domínio além de HTTP/HTTPS a protocolos como SSH e SFTP, sem custo adicional.
- Referencie um grupo de regras do DNS Firewall associado às VPCs cujo tráfego você inspeciona. Todas as VPCs associadas contribuem para um mesmo pool compartilhado de IPs resolvidos, então deixe de fora as VPCs não relacionadas.
- Comece no modo alert (requer o logging do firewall), revise o que seria bloqueado e depois mude para drop ou reject.
- Roteie cada sub-rede para o endpoint do firewall da sua própria zona de disponibilidade, porque as resoluções são registradas por zona. Em uma VPC de inspeção centralizada, use um firewall conectado ao Transit Gateway e adicione os CIDRs das VPCs spoke como intervalos de origem, já que por padrão só o CIDR da própria VPC do firewall é validado.
Envie os logs de egress ao seu SIEM
Envie os logs do firewall e do proxy ao seu SIEM / Security Lake para detectar shadow IT e configurar alertas adicionais.
Como se encaixa
Como validar
- Você restringe o tráfego de saída a destinos esperados (DNS Firewall, Network Firewall ou um proxy)?
- O Network Firewall bloqueia conexões a IPs que o seu VPC Resolver não retornou (validação de IP resolvido), para que as listas de permitidos por domínio não possam ser contornadas conectando-se diretamente a um IP?
- As conexões a parceiros/serviços são mantidas fora da internet com o PrivateLink quando possível?
- Os logs de egress são enviados ao seu SIEM para detectar shadow IT e anomalias?
Ameaças atendidas
- Sem controle de egress, uma instância comprometida pode chamar livremente servidores de command-and-control, baixar mais malware ou exfiltrar dados por um túnel de saída.
Serviços AWS
Amazon Route 53 Resolver DNS Firewall 
AWS Network Firewall 
AWS PrivateLink Preços
Veja os preços do Route 53 Resolver DNS Firewall, do AWS Network Firewall e do AWS PrivateLink.