Gruppi di Sicurezza vs. ACL di Rete: Scegliere il Firewall AWS VPC

Quando si progetta un ambiente Virtual Private Cloud (VPC) sicuro in Amazon Web Services (AWS), gli amministratori si affidano a più livelli di controllo per gestire il traffico di rete. I due componenti fondamentali per il filtraggio del traffico a livello di rete sono i Gruppi di Sicurezza (SG) e le Liste di Controllo Accessi di Rete (NACL).

Sebbene entrambi agiscano come firewall virtuali e utilizzino regole per controllare il traffico in entrata e in uscita, operano a livelli fondamentalmente diversi dell'architettura VPC e utilizzano meccanismi distinti per la valutazione delle regole. Comprendere queste differenze, in particolare il loro ambito, la loro statefulness e l'elaborazione delle regole, è fondamentale per stabilire una postura di sicurezza di rete robusta e conforme. Questa guida fornisce un confronto completo e spiega come utilizzare efficacemente sia gli SG che le NACL per una difesa in profondità.

Il Ruolo dei Firewall in AWS VPC

AWS fornisce sicurezza di rete a due livelli principali all'interno di un VPC:

Livello Istanza (Gruppi di Sicurezza): Agisce come un firewall per specifiche istanze EC2 o risorse (come database RDS o Elastic Load Balancer). Controlla il traffico da e verso l'interfaccia di rete.
Livello Sottorete (ACL di Rete): Agisce come un firewall stateless per intere sottoreti, controllando il flusso di traffico in entrata o in uscita dal confine della sottorete.

Approfondimento sui Gruppi di Sicurezza (SG)

I Gruppi di Sicurezza funzionano come il firewall primario e granulare per le singole risorse. Sono stateful e operano al Livello 4 (Livello Trasporto) del modello OSI.

Caratteristiche Chiave dei Gruppi di Sicurezza

Funzionalità	Descrizione	Implicazioni per l'Uso
Ambito	Si applica direttamente all'Elastic Network Interface (ENI) di un'istanza.	Controlla il flusso di traffico verso e dall' istanza stessa.
Statefulness	Stateful. Se una richiesta in entrata è esplicitamente consentita, il traffico di ritorno corrispondente (risposta in uscita) è automaticamente consentito, indipendentemente dalle regole in uscita.	Semplifica la configurazione; è necessario definire solo la direzione del traffico iniziale.
Tipo di Regola	Solo permesso. Le regole di negazione esplicita non sono possibili. Il traffico che non corrisponde a una regola `ALLOW` esplicita viene implicitamente negato.	Si concentra sulla definizione di ciò che è consentito.
Valutazione	Tutte le regole vengono valutate prima che venga presa una decisione. Non sono numerate e nessuna `DENY` implicita viene elaborata fino a quando tutte le regole `ALLOW` falliscono.	L'ordine non ha importanza; tutte le regole sono trattate allo stesso modo.

Esempio di Configurazione del Gruppo di Sicurezza

Per consentire l'accesso SSH (porta 22) a un'istanza EC2, è necessaria solo una regola in entrata. La regola in uscita per la risposta SSH viene gestita automaticamente dalla natura stateful dell'SG.

Tipo	Protocollo	Intervallo Porte	Origine	Descrizione
In entrata	TCP	22	0.0.0.0/0 (o IP admin specifico)	Consenti accesso SSH
In uscita	Tutti	Tutti	0.0.0.0/0	(Predefinito: Consente tutto il traffico, ma può essere limitato se necessario)

# Rappresentazione concettuale di un flusso stateful
Utente (IP Origine) --> [Regola SG in entrata: CONSENTI 22] --> Istanza EC2
Istanza EC2 (Risposta) --> [Stato implicito tracciato] --> Utente (Risposta ricevuta)

Suggerimento per la Best Practice: Definisci sempre le regole dei Gruppi di Sicurezza utilizzando il principio del privilegio minimo. Quando possibile, limita gli intervalli di IP di origine invece di consentire 0.0.0.0/0.

Approfondimento sulle Liste di Controllo Accessi di Rete (NACL)

Le Liste di Controllo Accessi di Rete forniscono un secondo livello di difesa, agendo come un filtro stateless al confine della sottorete. Sono potenti per la segmentazione della rete e le politiche di negazione ampie.

Caratteristiche Chiave delle Liste di Controllo Accessi di Rete

Funzionalità	Descrizione	Implicazioni per l'Uso
Ambito	Si applica a un'intera sottorete VPC. Una sottorete può essere associata a una sola NACL alla volta.	Controlla tutto il traffico che entra o esce dalla sottorete, influenzando tutte le istanze al suo interno.
Statefulness	Stateless. Sia le richieste in entrata che le corrispondenti risposte in uscita devono essere esplicitamente consentite.	Richiede un'attenta configurazione per il traffico di ritorno (porte effimere).
Tipo di Regola	Consenti e Nega. Puoi definire esplicitamente regole per permettere o bloccare il traffico.	Eccellente per bloccare IP dannosi noti o negare protocolli specifici a livello di rete.
Valutazione	Le regole sono numerate (da 1 a 32766) e valutate sequenzialmente, partendo dal numero più basso. La prima regola corrispondente viene applicata immediatamente.	L'ordine delle regole è critico. La regola di negazione implicita (l'ultima regola elaborata) nega tutto ciò che non è stato esplicitamente consentito.

Gestione del Traffico Stateless (Porte Effimere)

Poiché le NACL sono stateless, è necessario considerare le porte effimere utilizzate dai client che si connettono ai server. Quando un client avvia una connessione, utilizza una porta di destinazione (ad esempio, 80 per HTTP) e una porta sorgente con un numero elevato (intervallo di porte effimere, tipicamente 1024-65535).

Per consentire il traffico web (HTTP) in una sottorete, sono necessarie due regole:

Regola in entrata: Consente il traffico sulla porta di destinazione (ad esempio, 80).
Regola in uscita: Consente il traffico di ritorno al client utilizzando le porte sorgente effimere.

Regola #	Tipo	Protocollo	Intervallo Porte	Origine/Destinazione	Azione Regola
100	In entrata	TCP	80	0.0.0.0/0	CONSENTI (Traffico Web in ingresso)
110	In uscita	TCP	1024-65535	0.0.0.0/0	CONSENTI (Risposta Web in uscita - Porte effimere)
*	Nega implicito	Tutti	Tutti	Tutti	NEGA (Elaborato per ultimo)

Attenzione: Se si omette la corrispondente regola in uscita per le porte effimere in una NACL, il traffico raggiungerà l'istanza (grazie alla regola in entrata) ma la risposta verrà bloccata al confine della sottorete, causando timeout di connessione.

Riepilogo Comparativo: SG vs. NACL

La seguente tabella riassume le differenze cruciali tra i due tipi di firewall:

Funzionalità	Gruppo di Sicurezza (SG)	ACL di Rete (NACL)
Ambito di Applicabilità	Livello Istanza/ENI	Livello Sottorete
Stato	Stateful	Stateless
Tipi di Regola	Solo Consenti	Consenti e Nega
Valutazione delle Regole	Tutte le regole valutate, nessun ordine specifico.	Regole valutate sequenzialmente per numero (il più basso per primo); la prima corrispondenza vince.
Comportamento Predefinito	Nega tutto in entrata, consente tutto in uscita (se non limitato).	NACL predefinita consente tutto in entrata/uscita. NACL personalizzate negano tutto in entrata/uscita.
Effetto sul Traffico	Applica le regole solo se il traffico è destinato a o origina da una risorsa associata.	Filtra il traffico che attraversa il confine della sottorete, influenzando tutte le risorse nella sottorete.

Scegliere il Firewall Giusto: Scenari e Best Practices

La sicurezza di successo del VPC si basa sull'utilizzo congiunto di SG e NACL in un approccio a più livelli (Difesa in Profondità).

Quando Dare Priorità ai Gruppi di Sicurezza

I Gruppi di Sicurezza dovrebbero essere lo strumento principale per filtrare l'accesso alla rete grazie alla loro natura stateful e alla capacità di fare riferimento ad altri SG, semplificando la configurazione delle applicazioni.

Controllo Granulare delle Applicazioni: Utilizza gli SG per definire esattamente quali porte e protocolli sono richiesti per un'applicazione specifica (ad esempio, consentire il traffico solo sulla porta 3306 dall'SG del server web all'SG del database).
Comunicazione Interna: Gestisci la sicurezza per il traffico tra istanze all'interno della stessa sottorete o tra sottoreti (ad esempio, assicurando che un load balancer possa comunicare con i suoi gruppi di destinazione).
Facilità di Gestione: Poiché sono stateful, gli SG richiedono meno regole e sono meno inclini a errori rispetto alla gestione delle porte effimere con le NACL.

Quando Implementare le ACL di Rete

Le NACL sono meglio utilizzate per impostare confini e politiche di segmentazione ampie a livello di rete.

Politiche di Negazione Ampie: Utilizza regole DENY esplicite (Regola #100) per bloccare specifici indirizzi IP o intervalli IP dannosi in un'intera sottorete prima che il traffico raggiunga le istanze.
Segmentazione della Sottorete: Applica confini rigorosi tra i livelli della tua architettura (ad esempio, assicurando che la NACL della sottorete del database neghi esplicitamente tutto il traffico in entrata da internet, indipendentemente da come un SG potrebbe essere configurato).
Requisiti di Conformità: Alcuni standard di conformità potrebbero richiedere il filtraggio a livello di sottorete, rendendo le NACL essenziali.
Filtraggio di Protocolli Stateless: Le NACL sono necessarie se devi filtrare protocolli stateless che gli SG non possono gestire efficacemente da soli (anche se questo è raro per il traffico TCP/UDP standard).

L'Approccio di Difesa in Profondità

In un VPC tipico e ben progettato, i flussi di traffico devono passare sia attraverso una NACL che un Gruppo di Sicurezza. Se uno dei controlli di sicurezza nega il traffico, il pacchetto viene eliminato.

Flusso in entrata: Il traffico entra nella sottorete -> NACL controlla le regole -> Il traffico raggiunge l'ENI dell'istanza -> Gruppo di Sicurezza controlla le regole -> Il traffico raggiunge l'applicazione.
Flusso in uscita: L'applicazione genera una risposta -> Gruppo di Sicurezza (Controllo stateful superato) -> Il traffico lascia l'ENI dell'istanza -> NACL controlla le regole -> Il traffico lascia la sottorete.

Sfruttando la NACL per una segmentazione grossolana e regole di negazione, e l'SG per permessi precisi, stateful, a livello di applicazione, massimizzi l'efficacia della sicurezza mantenendo la semplicità di configurazione.

Conclusione

I Gruppi di Sicurezza e le ACL di Rete non sono intercambiabili; sono strumenti complementari progettati per proteggere diversi livelli del tuo AWS VPC. I Gruppi di Sicurezza forniscono la sicurezza operativa e orientata all'applicazione a livello di istanza, dando priorità alla semplicità attraverso la statefulness. Le ACL di Rete forniscono una barriera robusta e obbligatoria a livello di sottorete, offrendo capacità di negazione esplicita e proteggendo il confine della rete. Padroneggiare le differenze nell'ambito e nella statefulness assicura la progettazione di architetture VPC che non siano solo funzionali ma anche resilienti contro accessi di rete non autorizzati.