Francesco Oghabi

Architettura Cloud Sicura: Bastion Host e Rete Privata

La sicurezza delle infrastrutture cloud rappresenta una delle sfide più critiche per sviluppatori e professionisti IT. In questo articolo esploreremo come implementare un'architettura sicura utilizzando bastion host e reti private virtuali (VPC), fornendo esempi pratici e best practice per proteggere le risorse cloud.

Introduzione alle Architetture Cloud Sicure

Con la crescente adozione del cloud computing, la necessità di proteggere le risorse digitali è diventata fondamentale. Un'architettura cloud sicura non è solo una questione di compliance, ma rappresenta la base per garantire continuità operativa, protezione dei dati e fiducia dei clienti.

Le tradizionali architetture on-premise hanno lasciato posto a soluzioni cloud che, pur offrendo scalabilità e flessibilità, introducono nuove sfide di sicurezza. La corretta implementazione di bastion host e VPC costituisce uno degli approcci più efficaci per mitigare i rischi e mantenere un controllo granulare sugli accessi.

Comprendere le Virtual Private Cloud (VPC)

Una Virtual Private Cloud rappresenta una sezione isolata logicamente del cloud provider, dove è possibile lanciare risorse in una rete virtuale definita dall'utente. La VPC offre controllo completo sull'ambiente di rete virtuale, inclusa la selezione del range di indirizzi IP, la creazione di subnet e la configurazione di route table e gateway.

Componenti Fondamentali di una VPC

  • Subnet: Segmenti della VPC che possono essere pubblici o privati
  • Internet Gateway: Permette la comunicazione tra la VPC e Internet
  • NAT Gateway/Instance: Abilita l'accesso Internet per risorse in subnet private
  • Route Tables: Definiscono le regole di routing del traffico di rete
  • Security Groups: Firewall virtuali che controllano il traffico a livello di istanza
  • Network ACLs: Layer aggiuntivo di sicurezza a livello di subnet

Progettazione di una VPC Sicura

La progettazione di una VPC sicura richiede un approccio stratificato che implementi il principio di difesa in profondità. Ecco un esempio di configurazione base utilizzando AWS CloudFormation:

AWSTemplateFormatVersion: '2010-09-09'
Description: 'VPC sicura con subnet pubbliche e private'

Resources:
  SecureVPC:
    Type: AWS::EC2::VPC
    Properties:
      CidrBlock: 10.0.0.0/16
      EnableDnsHostnames: true
      EnableDnsSupport: true
      Tags:
        - Key: Name
          Value: SecureVPC

  PublicSubnet:
    Type: AWS::EC2::Subnet
    Properties:
      VpcId: !Ref SecureVPC
      CidrBlock: 10.0.1.0/24
      AvailabilityZone: !Select [0, !GetAZs '']
      MapPublicIpOnLaunch: true
      Tags:
        - Key: Name
          Value: PublicSubnet

  PrivateSubnet:
    Type: AWS::EC2::Subnet
    Properties:
      VpcId: !Ref SecureVPC
      CidrBlock: 10.0.2.0/24
      AvailabilityZone: !Select [1, !GetAZs '']
      Tags:
        - Key: Name
          Value: PrivateSubnet

Il Ruolo del Bastion Host

Un bastion host è un server appositamente configurato per resistere agli attacchi e fornire un punto di accesso sicuro alle risorse private. Posizionato in una subnet pubblica, il bastion host funge da gateway controllato per accedere a server e servizi situati in subnet private.

Caratteristiche di un Bastion Host Efficace

Un bastion host ben configurato deve possedere diverse caratteristiche essenziali:

  • Hardening del sistema operativo: Rimozione di servizi non necessari e applicazione di patch di sicurezza
  • Autenticazione multi-fattore: Implementazione di MFA per tutti gli accessi
  • Logging e monitoring: Registrazione dettagliata di tutte le attività
  • Accesso temporaneo: Sessioni con timeout automatico
  • Controllo granulare degli accessi: Definizione precisa di chi può accedere e quando

Implementazione di un Bastion Host

L'implementazione di un bastion host richiede attenzione a diversi aspetti tecnici. Ecco un esempio di configurazione utilizzando Terraform:

resource "aws_instance" "bastion_host" {
  ami           = "ami-0c02fb55956c7d316"  # Amazon Linux 2
  instance_type = "t3.micro"
  key_name      = var.key_pair_name
  
  vpc_security_group_ids = [aws_security_group.bastion_sg.id]
  subnet_id              = aws_subnet.public_subnet.id
  
  associate_public_ip_address = true
  
  user_data = base64encode(templatefile("${path.module}/bastion-setup.sh", {
    admin_users = var.admin_users
  }))
  
  tags = {
    Name = "BastionHost"
    Type = "Security"
  }
}

resource "aws_security_group" "bastion_sg" {
  name_prefix = "bastion-sg"
  vpc_id      = aws_vpc.main.id
  
  ingress {
    from_port   = 22
    to_port     = 22
    protocol    = "tcp"
    cidr_blocks = var.allowed_ssh_cidr_blocks
  }
  
  egress {
    from_port   = 22
    to_port     = 22
    protocol    = "tcp"
    cidr_blocks = [aws_vpc.main.cidr_block]
  }
  
  tags = {
    Name = "BastionSecurityGroup"
  }
}

Configurazione Avanzata della Sicurezza di Rete

La sicurezza di rete in un ambiente cloud richiede una configurazione meticolosa di tutti i componenti. Oltre ai security group, è fondamentale configurare correttamente le Network Access Control Lists (NACLs) per creare un doppio livello di protezione.

Security Groups vs Network ACLs

Caratteristica Security Groups Network ACLs
Livello di applicazione Istanza Subnet
Tipo di regole Solo Allow Allow e Deny
Stato Stateful Stateless
Ordine di valutazione Tutte le regole Ordine numerico

Implementazione di Regole di Sicurezza Granulari

Per massimizzare la sicurezza, è essenziale implementare regole granulari che seguano il principio del minimo privilegio. Ecco un esempio di configurazione avanzata:

{
  "SecurityGroupRules": {
    "BastionToPrivate": {
      "Type": "AWS::EC2::SecurityGroupEgress",
      "Properties": {
        "GroupId": {"Ref": "BastionSecurityGroup"},
        "IpProtocol": "tcp",
        "FromPort": 22,
        "ToPort": 22,
        "DestinationSecurityGroupId": {"Ref": "PrivateSecurityGroup"}
      }
    },
    "PrivateFromBastion": {
      "Type": "AWS::EC2::SecurityGroupIngress",
      "Properties": {
        "GroupId": {"Ref": "PrivateSecurityGroup"},
        "IpProtocol": "tcp",
        "FromPort": 22,
        "ToPort": 22,
        "SourceSecurityGroupId": {"Ref": "BastionSecurityGroup"}
      }
    }
  }
}

Monitoraggio e Logging

Un'architettura sicura deve includere sistemi di monitoraggio e logging completi. Il monitoraggio continuo permette di identificare rapidamente anomalie e potenziali minacce, mentre i log dettagliati forniscono visibilità sulle attività e supportano le indagini forensi.

Implementazione del Monitoring

L'implementazione di un sistema di monitoraggio efficace richiede la configurazione di diversi componenti:

  • CloudWatch Logs: Per la raccolta e analisi dei log
  • VPC Flow Logs: Per monitorare il traffico di rete
  • CloudTrail: Per l'audit delle API calls
  • Systems Manager Session Manager: Per l'accesso sicuro senza SSH diretto
import boto3
import json

def setup_monitoring():
    cloudwatch = boto3.client('cloudwatch')
    
    # Creazione di un allarme per accessi anomali
    cloudwatch.put_metric_alarm(
        AlarmName='UnauthorizedSSHAttempts',
        ComparisonOperator='GreaterThanThreshold',
        EvaluationPeriods=1,
        MetricName='FailedSSHLogins',
        Namespace='Custom/Security',
        Period=300,
        Statistic='Sum',
        Threshold=5.0,
        ActionsEnabled=True,
        AlarmActions=[
            'arn:aws:sns:region:account:security-alerts'
        ],
        AlarmDescription='Alert on multiple failed SSH attempts'
    )

def configure_flow_logs(vpc_id):
    ec2 = boto3.client('ec2')
    
    response = ec2.create_flow_logs(
        ResourceIds=[vpc_id],
        ResourceType='VPC',
        TrafficType='ALL',
        LogDestinationType='cloud-watch-logs',
        LogGroupName='/aws/vpc/flowlogs'
    )
    
    return response

Best Practice per la Gestione degli Accessi

La gestione degli accessi rappresenta uno degli aspetti più critici della sicurezza cloud. Implementare politiche rigorose e strumenti adeguati è fondamentale per mantenere la sicurezza dell'infrastruttura.

Implementazione di Session Manager

AWS Systems Manager Session Manager offre un'alternativa sicura all'accesso SSH tradizionale, eliminando la necessità di aprire porte SSH e gestire chiavi SSH:

SessionManagerRole:
  Type: AWS::IAM::Role
  Properties:
    AssumeRolePolicyDocument:
      Version: '2012-10-17'
      Statement:
        - Effect: Allow
          Principal:
            Service: ec2.amazonaws.com
          Action: sts:AssumeRole
    ManagedPolicyArns:
      - arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore
    Policies:
      - PolicyName: SessionManagerPermissions
        PolicyDocument:
          Version: '2012-10-17'
          Statement:
            - Effect: Allow
              Action:
                - ssm:UpdateInstanceInformation
                - ssmmessages:CreateControlChannel
                - ssmmessages:CreateDataChannel
                - ssmmessages:OpenControlChannel
                - ssmmessages:OpenDataChannel
              Resource: '*'

Rotazione delle Credenziali

La rotazione regolare delle credenziali è essenziale per mantenere la sicurezza nel tempo. Implementare processi automatizzati di rotazione riduce il rischio di compromissione:

  • Rotazione automatica delle chiavi SSH: Utilizzo di AWS Secrets Manager per la gestione automatica
  • Certificati temporanei: Implementazione di certificati con scadenza breve
  • Token di accesso dinamici: Utilizzo di sistemi di autenticazione basati su token

Disaster Recovery e Alta Disponibilità

Un'architettura sicura deve also considerare aspetti di disaster recovery e alta disponibilità. La progettazione multi-AZ e cross-region garantisce continuità operativa anche in caso di incidenti.

Configurazione Multi-AZ

L'implementazione di una configurazione multi-AZ aumenta la resilienza dell'infrastruttura:

resource "aws_instance" "bastion_primary" {
  ami               = var.bastion_ami
  instance_type     = "t3.micro"
  availability_zone = "us-west-2a"
  subnet_id         = aws_subnet.public_subnet_a.id
  
  tags = {
    Name = "BastionPrimary"
    Role = "Primary"
  }
}

resource "aws_instance" "bastion_secondary" {
  ami               = var.bastion_ami
  instance_type     = "t3.micro"
  availability_zone = "us-west-2b"
  subnet_id         = aws_subnet.public_subnet_b.id
  
  tags = {
    Name = "BastionSecondary"
    Role = "Secondary"
  }
}

resource "aws_lb" "bastion_lb" {
  name               = "bastion-lb"
  internal           = false
  load_balancer_type = "network"
  subnets            = [aws_subnet.public_subnet_a.id, aws_subnet.public_subnet_b.id]
}

Automazione e Infrastructure as Code