3.1 - Concevoir des contrôles de sécurité réseau en périphérie (CloudFront, WAF, Shield, API Gateway)
L'objectif 3.1 de l'AWS Certified Security Specialty couvre la protection du périmètre par lequel le trafic entre. Origin Access Control verrouille un bucket S3 pour qu'il ne soit lisible qu'à travers la distribution CloudFront, les cookies signés conviennent à un abonné qui parcourt de nombreux fichiers privés là où les URL signées visent un objet unique, et les visiteurs qui ne négocient qu'un TLS obsolète sont refusés en relevant la version minimale du protocole. AWS WAF stoppe un déluge venant d'adresses tournantes avec une règle basée sur le débit, couvre les injections et le cross-site scripting via les groupes de règles gérées AWS, applique des blocages géographiques, masque les en-têtes sensibles dans ses journaux, et se termine par une action par défaut qui décide du sort des requêtes n'appariant aucune règle ; un web ACL régional s'attache à un ALB, à API Gateway ou à AppSync alors que CloudFront exige la portée globale, tout comme les certificats ACM qui doivent résider dans us-east-1 pour une distribution. Les attaquants qui contournent la périphérie sont bloqués en n'acceptant que les listes de préfixes CloudFront ou un en-tête secret au niveau de l'ALB. Shield Standard est gratuit contre les couches 3 et 4, tandis que Shield Advanced ajoute l'équipe de réponse, la protection des coûts et l'atténuation de couche 7. API Gateway propose des authorizers Cognito, des plans d'utilisation et des endpoints privés.
S3 lisible seulement à travers le CDN = Origin Access Control sur la distribution. Déluge d'adresses tournantes = règle WAF basée sur le débit. Certificat pour un nom de domaine alternatif CloudFront = ACM dans us-east-1, toujours.
Questions d'entraînement
1. Chaque repartiteur de charge expose sur internet dans une organisation doit porter le meme web ACL de base, y compris ceux crees demain dans des comptes que vous n'exploitez pas. Que deployez-vous ?
- AWS Config, avec un pack de conformite deploye dans chaque compte pour qu'un repartiteur depourvu de web ACL soit enregistre comme ressource non conforme dans l'agregateur
- AWS Control Tower, dont les garde-fous preventifs creent le web ACL
- AWS Firewall Manager, avec une politique WAF portee sur l'organisation (bonne réponse)
- Un StackSet CloudFormation execute une fois dans chaque region
Firewall Manager applique une politique WAF, Shield ou groupes de securite a l'echelle des comptes d'une organisation et corrige automatiquement des qu'une ressource entrant dans la portee apparait. Config se contente de signaler la non conformite sans rien attacher, les garde-fous Control Tower ne creent pas de web ACL, et un StackSet s'execute une fois et ignore les ressources creees ensuite.
2. Dans AWS Network Firewall, dans quel ordre les deux moteurs de regles s'appliquent-ils a un paquet ?
- Les regles sans etat d'abord, puis les regles avec etat si le paquet a ete transmis (bonne réponse)
- Les regles avec etat d'abord, car elles portent la logique de noms de domaine et de TLS que le moteur sans etat devrait sinon recalculer pour chaque paquet d'un flux
- Les deux moteurs tournent en parallele et le verdict le plus strict est celui qui s'applique
- Un seul moteur tourne, choisi par la priorite donnee au groupe de regles
Network Firewall passe d'abord par le moteur sans etat, paquet par paquet, et seul ce qu'il transmet atteint le moteur avec etat qui suit les flux et reconnait les domaines. L'ordre est fige, les deux moteurs sont chaines et non paralleles, et tous deux interviennent des lors que le verdict sans etat est de transmettre.
3. Des robots d'aspiration imitant de vrais navigateurs pillent vos pages de catalogue, a un debit assez faible pour rester sous n'importe quel seuil. Quelle fonctionnalite d'AWS WAF les identifie ?
- Une regle fondee sur le debit, qui compte les requetes de chaque adresse source sur une fenetre glissante et bloque celles qui depassent le seuil configure
- Une instruction de correspondance geographique limitee aux pays ou le catalogue est vendu
- L'option de gestion des corps de requete surdimensionnes du web ACL
- Le groupe de regles gerees AWS WAF Bot Control (bonne réponse)
Bot Control prend l'empreinte des clients et les etiquette par categorie, si bien qu'un aspirateur discret est attrape sur sa signature et non sur son volume. Une regle de debit ne sert a rien face a un trafic qui reste sous le seuil, un filtre geographique bloquerait aussi des acheteurs legitimes, et la gestion de la taille des corps n'a rien a voir avec l'automatisation.
4. Les numeros de carte saisis dans un formulaire doivent rester illisibles pour les couches applicatives intermediaires et n'etre dechiffres que par un seul service de paiement. Quelle fonctionnalite CloudFront fournit cela ?
- L'origin access control, qui fait signer par CloudFront chaque requete vers l'origine pour que la charge utile soit verifiee avant lecture par une couche applicative
- Le chiffrement au niveau des champs, applique avec une cle publique a des champs de formulaire nommes (bonne réponse)
- Une politique d'en-tetes de reponse qui ajoute le strict transport security a chaque reponse
- Des URL signees generees pour la page de paiement et valables quelques minutes
Le chiffrement au niveau des champs chiffre en peripherie les champs designes avec une cle publique, si bien que seul le detenteur de la cle privee correspondante peut les lire plus loin dans la chaine. L'origin access control authentifie CloudFront aupres de l'origine sans rien cacher a l'application, les en-tetes de reponse pilotent le navigateur, et les URL signees controlent l'acces et non la confidentialite de la charge utile.
5. Une distribution CloudFront sert des objets depuis un bucket S3. Comment garantir que le bucket ne soit lisible qu'a travers CloudFront ?
- Rendre le bucket public mais compter sur le nom de domaine alternatif de la distribution pour que personne ne devine l'URL S3 d'origine d'un objet
- Utiliser l'origin access control et une politique de bucket n'autorisant que la distribution (bonne réponse)
- Activer le paiement par le demandeur sur le bucket pour que les appelants directs soient factures et renoncent, CloudFront continuant de servir le cache
- Placer le bucket dans un sous-reseau prive du VPC et faire passer la distribution par un point de terminaison d'interface attache a ce sous-reseau
L'origin access control permet a CloudFront de signer ses requetes vers l'origine en SigV4, et une politique de bucket conditionnee par l'ARN de la distribution refuse tout le reste. Masquer l'URL n'est pas un controle car les points de terminaison S3 sont previsibles, le paiement par le demandeur change la facturation et non l'autorisation, et un bucket S3 n'est pas une ressource VPC que l'on place dans un sous-reseau.
6. Une application web publique subit un deluge de requetes HTTP venant d'adresses sources qui tournent. Quel controle limite cela en couche 7 ?
- Une regle AWS WAF fondee sur le debit, posee sur la distribution (bonne réponse)
- Une NACL qui refuse chaque adresse fautive des qu'elle apparait dans les VPC Flow Logs du sous-reseau public
- Une regle entrante de groupe de securite limitee aux plages d'adresses de l'entreprise, appliquee au repartiteur de charge de l'application
- Un controle de sante Route 53 qui bascule l'enregistrement vers une page de maintenance statique hebergee dans une seconde region
Une regle fondee sur le debit compte les requetes par source sur une fenetre glissante et bloque celles qui depassent le seuil, ce qui correspond exactement au deluge de couche 7. Les NACL sont manuelles, limitees en taille et toujours en retard face a des adresses qui tournent, une liste d'autorisation d'entreprise exclurait le public pour qui le site existe, et la bascule remplace simplement le site par une page d'erreur.