搜索

[14686] 2019-10-10_在AWS中建立网络分割案例

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-10-10_在AWS中建立网络分割案例 在 A W S 中 建 立 网 络 分 割 案 例 K r i s t o n   F r e e B u f   2 0 1 9 - 1 0 - 1 0 网 络 分 割 最 简 单 的 示 例 是 使 用 防 火 墙 分 离 应 用 程 序 和 基 础 结 构 组 件 。 这 个 概 念 现 在 是 构 建 数 据 中 心 和 应 用 程 序 网 络 分 割 最 简 单 的 示 例 是 使 用 防 火 墙 分 离 应 用 程 序 和 基 础 结 构 组 件 。 这 个 概 念 现 在 是 构 建 数 据 中 心 和 应 用 程 序 架 构 中 提 出 的 。 但 如 果 没 有 合 适 的 网 络 分 割 模 型 ， 几 乎 不 可 能 找 到 企 业 案 例 。 架 构 中 提 出 的 。 但 如 果 没 有 合 适 的 网 络 分 割 模 型 ， 几 乎 不 可 能 找 到 企 业 案 例 。 网 络 分 割 的 最 佳 实 案 例 需 要 以 下 功 能 ： 1 、 入 侵 检 测 和 预 防 系 统 （ i d s 和 i p s ） ， 基 于 已 知 的 c v e 、 行 为 模 式 和 行 业 智 能 来 检 测 和 阻 止 恶 意 流 量 2 、 防 病 毒 和 恶 意 软 件 检 测 ， 以 检 测 和 阻 止 流 量 中 的 病 毒 和 恶 意 软 件 行 为 3 、 沙 箱 ， 在 “ 安 全 ” 的 虚 拟 环 境 中 执 行 和 处 理 流 量 ， 以 观 察 结 果 4 、 用 于 检 测 和 阻 止 基 于 应 用 程 序 威 胁 的 w e b 防 火 墙 5 、 分 布 式 拒 绝 服 务 （ D D o S ） 保 护 以 阻 止 暴 力 和 拒 绝 服 务 攻 击 6 、 s s l 解 密 和 监 视 在 本 地 场 景 中 ， 下 一 代 防 火 墙 提 供 了 这 些 功 能 的 大 部 分 。 理 想 情 况 下 ， 防 火 墙 只 允 许 有 效 端 口 上 的 通 信 ， 这 些 防 火 墙 可 以 检 查 所 有 端 口 上 的 流 量 ， 包 括 打 开 的 有 效 端 口 （ 例 如 8 0 4 4 3 ） 。 如 何 在 如 何 在 a w s 中 实 现 网 络 分 割 中 实 现 网 络 分 割 假 设 在 a w s 上 运 行 的 示 例 应 用 程 序 有 四 个 组 件 ： s 3 内 容 、 l a m b d a 、 在 e c 2 实 例 上 运 行 的 自 定 义 数 据 处 理 组 件 和 几 个 r d s 实 例 。 它 们 反 映 了 三 个 网 络 分 割 区 域 ： w e b 、 应 用 程 序 和 数 据 。 入 站 流 量 被 发 送 到 s 3 中 的 静 态 或 动 态 页 面 。 这 些 页 面 启 动 l a m b d a 来 操 作 和 转 换 提 供 的 数 据 。 l a m b d a 调 用 在 e c 2 实 例 上 运 行 的 自 定 义 逻 辑 。 l a m b d a 和 e c 2 系 统 与 多 个 r d s 数 据 库 交 互 ， 以 丰 富 和 存 储 各 种 格 式 的 数 据 。 在 现 实 环 境 中 ， 这 些 组 件 将 使 用 许 多 a w s 配 置 和 策 略 。 在 程 序 开 发 人 员 放 松 安 全 控 制 情 况 下 ， 下 图 显 示 了 此 非 安 全 流 和 网 络 区 域 覆 盖 ：
分 割 需 求 需 要 多 个 a w s 配 置 ， 包 括 ： 1 、 A W S 防 护 ； 2 、 A W S   W A F ； 3 、 V P C — — 专 用 子 网 ； 4 、 V P C — — 公 共 子 网 ； 5 、 V P C — — 互 联 网 网 关 ； 6 、 V P C — 路 由 表 ； 7 、 V P C — — 安 全 组 ； 8 、 V P C — — 网 络 负 载 均 衡 器 ； 9 、 下 一 代 防 火 墙 ； 1 0 、 A W S 云 监 视 ；
网 络 分 割 工 作 原 理 网 络 分 割 工 作 原 理 入 站 流 量 请 求 首 先 由 a w s 进 行 处 理 ， 禁 止 D D o S 攻 击 和 某 些 其 他 干 扰 向 量 。 然 后 a w s   w a f 分 析 该 请 求 ， 以 限 制 s q l 插 入 、 扫 描 各 种 c v e 和 i p 白 名 单 。 然 后 ， 入 站 流 量 被 发 送 到 s 3 。 接 下 来 ， l a m b d a 操 作 并 转 换 提 供 的 数 据 。 所 有 这 些 处 理 都 是 在 a w s 中 的 公 共 访 问 服 务 中 完 成 的 。 下 一 步 交 由 在 v p c 处 理 。 来 自 l a m b d a 的 流 量 通 过 i n t e r n e t 网 关 发 送 ， 然 后 路 由 到 网 络 负 载 平 衡 器 。 负 载 平 衡 器 重 定 向 到 几 个 虚 拟 防 火 墙 之 一 。 为 设 计 多 个 防 火 墙 是 为 了 冗 余 和 容 量 。 这 些 防 火 墙 应 用 i d s / i p s 、 恶 意 软 件 、 沙 箱 ， s s l 解 密 ， 以 便 通 进 行 数 据 包 级 别 的 检 查 。 接 下 来 ， 请 求 被 发 送 到 v p c 路 由 表 。 路 由 表 应 用 安 全 组 策 略 ， 这 些 策 略 限 制 通 信 源 、 目 标 、 端 口 和 路 由 ， 以 确 保 只 有 特 定 的 服 务 可 以 通 信 。 此 路 由 表 还 区 分 了 公 共 子 网 （ 即 ， e c 2 应 用 服 务 器 ， 外 部 可 访 问 ） 和 私 有 子 网 （ 即 数 据 库 ） 。 v p c 完 成 的 所 有 处 理 都 被 捕 获 在 v p c 流 日 志 中 ， 并 存 储 到 S I E M 系 统 ， S I E M 系 统 很 可 能 托 管 在 本 地 或 其 他 地 方 。 考 虑 和 要 求 考 虑 和 要 求 这 种 流 量 路 由 显 然 比 传 统 系 统 复 杂 得 多 ， 复 杂 性 增 加 了 错 误 和 配 置 出 错 的 机 会 。 路 由 也 会 影 响 性 能 ， 如 果 此 模 型 保 护 电 子 商 务 网 站 等 时 间 敏 感 事 务 ， 则 需 要 对 其 进 行 评 估 和 优 化 。 但 考 虑 到 a w s 的 速 度 和 性 能 ， 大 多 数 用 户 的 浏 览 器 和 网 络 连 接 可 能 太 慢 而 无 法 注 意 到 差 异 。 对 于 对 时 间 不 太 敏 感 的 事 务 ， 此 模 型 可 以 正 常 工 作 。
* 参 考 来 源 ： 参 考 来 源 ： s e c u r i t y i n t e l l i g e n c e ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理