Ja, ordene bruges ofte om den samme udgående trafik. Egress fremhæver, at trafikken forlader en bestemt sikkerheds- eller netværksgrænse.
Begreb
Egress traffic
•
2 min
•
Grundlæggende
Egress traffic (udgående netværkstrafik) er trafik, der forlader en defineret grænse, eksempelvis en enhed, et subnet, et cloudmiljø eller virksomhedens netværk. Grænsen er afgørende: Trafik kan være egress fra ét segment og samtidig ingress til et andet.
Hvorfor er begrebet vigtigt?
Systemer bruger egress til blandt andet DNS, opdateringer, identitetstjenester, eksterne API'er og telemetry. De samme udgående veje kan misbruges til kontakt med angriberinfrastruktur eller overførsel af data.
Kontrolleret egress giver synlighed og begrænser destinationer efter behov. Designet skal samtidig håndtere kapacitet og fejl, fordi en fælles udgang kan blive en kritisk afhængighed.
Typisk misforståelse
Network Address Translation (NAT) er ikke automatisk egress-filtrering. NAT kan oversætte private kildeadresser til en offentlig adresse, men afgør ikke nødvendigvis, hvilke destinationer og tjenester der må kontaktes.
Det er heller ikke nok kun at beskytte ingress. En kompromitteret enhed kan starte en tilladt udgående forbindelse, selv om uventede indgående forbindelser er blokeret.
Eksempel
En cloudapplikation skal kun kontakte en betalingsudbyders API og godkendte opdateringstjenester. Subnettets standardrute fører al internettrafik gennem en central firewall med dokumenterede regler.
En kompromitteret workload forsøger at oprette en krypteret forbindelse til et ukendt domæne. Firewallen afviser forbindelsen, logger kilde og destination og sender et signal til sikkerhedsteamet.
Best practice
Definér tydeligt, hvilken netværksgrænse kontrollen gælder for.
Kortlæg nødvendige destinationer, porte, protokoller og ejere.
Brug eksplicitte egress-veje, og begræns muligheder for at omgå dem.
Tillad kun nødvendig trafik, og giv undtagelser ejer og udløbsdato.
Medtag DNS, tid, certifikatkontrol, opdateringer og failover i designet.
Log tilladt og afvist trafik, og test kapacitet, alarmer og fejlscenarier.
Frequently asked questions
Ja, for isolerede miljøer, men de fleste systemer har godkendte afhængigheder. Et generelt forbud kan bryde opdateringer, navneopslag, godkendelse og andre nødvendige funktioner.
Den reducerer mulige udgange, men er ikke en garanti. Tilladte tjenester og krypterede forbindelser kan stadig misbruges, så kontrollen bør kombineres med identitets-, endpoint- og databeskyttelse.