2

疑問点

AWS において、DBサーバーのセキュリティグループ(sg)に、webサーバーにアタッチされているsgを設定したいのですが、
webサーバーにアタッチされているsgの内容を踏まえて、そのsgをDBのsgに設定して良いのか疑問があります。

疑問内容

以下がwebサーバーに設定されているsgの詳細です。
※インバウンド

  • HTTP(TCP):0.0.0.0/0
  • SSH(TCP):マイIP

このsgをDBsgのインバウンドに設定しています。

考えたこと

webサーバーのsgをDBsgのインバウンドに設定→webサーバーのsgを通過した通信はDBにインバウンドできる
→webサーバーのsgはHTTPを許可しているのでサイトにアクセスできればDBに入れるということになるのでしょうか?

お願いしたいこと

sgについて考えれば考えるほどわからなくなってしまいました。
DBsgにマイIPのみを設定するのならわかるのですが、HTTPが絡むとセキュリティ的に良くないのではないかと思いました。
考え方等間違いをご指摘いただけますと幸いです。
よろしくお願いいたします。

2
  • 念のための確認です:AWS におけるセキュリティグループに関する質問ということで合っていますでしょうか。
    – nekketsuuu
    Commented 2022年10月31日 11:39
  • コメントありがとうございます。AWS におけるセキュリティグループの質問になります!
    – yuri
    Commented 2022年11月1日 6:05

1 件の回答 1

1

セキュリティには必要最低限の内容のみ許可するという考え方があります。

今回のケースで言うと、DB サーバを Web サーバからアクセスできるようにすることは基本的に必要なことで、そのために DB サーバを用意するわけで、避けようがありません。ですので、必要最低限の内容と考えられます。

もちろん構成として、Web サーバと AP サーバを分けたり、Web サーバの前にロードバランサや CDN を設けてセキュリティを高めるとかは考えられますが、サーバサイドアプリケーションを配置するサーバは間接的にでも外から外からアクセスできるようにする必要がありますし、DB サーバにもアクセスできるようにする必要があります。

必要ではありますが、セキュリティ上のリスクが無いわけではありません。Web サーバや AP サーバに何かしらの脆弱性があり、サーバが乗っ取られると、そこから DB サーバにアクセスでき、データを自由にアクセスされてしまう可能性はあります。

こういったリスクはファイアウォールでは守れないため、ファイアウォールで必要最低限の通信しかできないようにはするが、他の対策も必要に応じて十分する必要があるわけです。

webサーバーのsgはHTTPを許可しているのでサイトにアクセスできればDBに入れる

例えば、アプリケーションに脆弱性があり、外部から任意のコマンドをWebサーバで実行できるようなことができてしまうと、DB サーバにもアクセスできてしまうわけです。ですので、そのような事ができてしまわないようにする必要があります。

3
  • 大分お時間が経ってしまいすみません!回答ありがとうございます! 『外部から任意のコマンドをWebサーバで実行できるようなことができてしまう』 という点をなるべく防ぐとなると、CDNに条件を設定したりロードバランサーでHTTPSにリダイレクトしたり⋯といった所でしょうか?(もちろん他にも様々な方法があるかとは思います。)
    – yuri
    Commented 2022年11月27日 5:53
  • OS、ミドルウェア、ライブラリなどをアップデートしたり、アプリケーションはセキュアプログラミングするということが重要ですね。 CDNの(WAF以外の)条件設定や、HTTPSへのリダイレクトで防げる内容はあまりないと思います。
    – Yoshi
    Commented 2022年12月1日 7:46
  • ありがとうございます!
    – yuri
    Commented 2022年12月2日 6:16

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。