hospedagem EC2, tentando entender o modelo de segurança de rede

Question

Estamos hospedando algumas máquinas virtuais na amazon. Grupos de segurança e outras configurações são configurados para permitir o acesso somente a partir dos endereços desejados e às partes desejadas.

As máquinas falam umas com as outras. Minha preocupação é com segurança de comunicação. Tentei pesquisar na Web, mas posso estar perdendo as palavras-chave certas, pois não encontrei informações relevantes.

Precisamos criptografar o tráfego entre as máquinas virtuais se elas contiverem dados confidenciais? Pode alguém com wireshark ou ferramentas semelhantes, inspecionar meu tráfego. Como a Amazon impede que alguém hospede uma máquina virtual e use o wireshark para observar o tráfego?

    

Answer 1

De acordo com a declaração de práticas de segurança: link

Packet sniffing by other tenants: It is not possible for a virtual instance running in promiscuous mode to receive or "sniff" traffic that is intended for a different virtual instance. While customers can place their interfaces into promiscuous mode, the hypervisor will not deliver any traffic to them that is not addressed to them. This includes two virtual instances that are owned by the same customer, even if they are located on the same physical host. Attacks such as ARP cache poisoning do not work within EC2. While Amazon EC2 does provide ample protection against one customer inadvertently or maliciously attempting to view another's data, as a standard practice customers should encrypt sensitive traffic.

Basicamente, você não verá nenhum tráfego não destinado à sua instância específica e a multidifusão não funcionará. Seu tráfego é razoavelmente seguro, mas se você estiver transferindo dados que garantam a criptografia, as melhores práticas são fazer isso.

    

Answer 2

Se você quiser ter mais segurança já mencionada, use um VPC - assim você terá sua própria rede privada dentro do Amazon Cloud. Isso adicionará outra camada de segurança, já que você pode usar endereços IP internos que são roteados internamente apenas para suas máquinas - portanto, não há como farejar seu tráfego (exceto para AWS em seus switches e roteadores).