Groupes de sécurité EC2 expliqués : comment n'ouvrir que le nécessaire

Dans EC2, le pare-feu n'est pas à l'intérieur de la machine mais devant elle, et il s'appelle groupe de sécurité. C'est une liste de règles du type « laisser entrer n'importe qui par le port 443 » ou « laisser entrer seulement cette IP par le 22 ». Tout ce qui n'est pas dans la liste n'entre pas. C'est pourquoi une machine tout juste créée peut être parfaitement allumée et que, pourtant, le site ne charge pas : personne n'a ouvert la porte.

Comprendre quatre idées sur les groupes de sécurité évite la moitié des problèmes d'EC2 et la plupart des failles de sécurité. Ce guide les explique et laisse un groupe bien configuré pour un serveur web.

Pas à pas

1. Regardez quel groupe a votre machine

   Console EC2, Instances, sélectionnez la machine, onglet Sécurité. Vous verrez le ou les groupes attribués et, en dessous, les règles entrantes telles qu'elles s'appliquent. Si le site ne répond pas, la réponse est ici dans 90 % des cas : il manque le 443, ou la source est seulement votre IP.

2. Comprenez le groupe par défaut

   Chaque réseau (VPC) a un groupe appelé default qui autorise tout le trafic entre les machines qui le partagent et rien depuis Internet. Il est utile pour que vos machines se parlent entre elles, mais pas pour un site public. Ne le modifiez pas pour ouvrir des ports au monde : créez vos propres groupes avec des noms qui disent à quoi ils servent.

3. Créez un groupe pour les serveurs web

   Menu Groupes de sécurité, Créer un groupe de sécurité. Nom web-publica, description claire, le VPC par défaut. Règles entrantes :

   Type	Port	Source	Pour quoi
   HTTPS	443	0.0.0.0/0 et ::/0	Le web sécurisé, pour tout le monde
   HTTP	80	0.0.0.0/0 et ::/0	Pour rediriger vers HTTPS et renouveler les certificats
   SSH	22	Mon IP	Administration, seulement depuis votre connexion

   La liste déroulante de la source propose l'option Mon IP, qui remplit votre adresse actuelle. Ajoutez une description à chaque règle (« bureau », « maison d'Anne ») : dans un an, vous serez content de savoir à qui appartenait chaque IP. Créez.

4. Attribuez le groupe à la machine

   Revenez à l'instance, Actions, Sécurité, Modifier les groupes de sécurité. Ajoutez web-publica et retirez celui qu'elle avait s'il ne sert plus. Le changement est immédiat, sans redémarrer. Testez le site et le SSH.

5. Pour une base de données : ouvrez seulement à vos machines

   Si vous avez une machine ou une RDS avec une base de données, n'ouvrez pas le 3306 à Internet ni à « Mon IP ». Créez un groupe bd-interna avec une règle entrante sur le port 3306 dont la source est le groupe de sécurité web-publica (dans la liste déroulante de la source, vous pouvez choisir un groupe au lieu d'une IP). Ainsi, seules les machines qui portent ce groupe peuvent se connecter, quelle que soit leur IP. C'est la bonne façon de faire, et presque personne ne la connaît.

6. Vérifiez ceux que vous avez déjà

   Dans la liste des groupes de sécurité, triez ou filtrez ceux qui ont des règles avec la source 0.0.0.0/0 sur des ports autres que 80 et 443. Un 22, un 3306 ou un 3389 ouverts à tout Internet, c'est ce que les attaquants cherchent chaque jour. Fermez-les à votre IP ou au groupe qui convient. Et supprimez les groupes qui ne sont attribués à rien : ils ne font que semer la confusion.

Ce qui peut mal tourner