↓ Skip to main content
u-random
u-random
  1. Lab-devsec/

Lab TODO — Screened Subnet su AWS via Terraform (IaC security)

·2 mins
Devops Automation Network-Defense
Alessio Barnini
Author
Alessio Barnini
Table of Contents
Lab TODO — Screened Subnet su AWS via Terraform (IaC security)

Lab TODO — Screened Subnet su AWS via Terraform
#

Perché questo lab
#

Quarto capitolo della stessa serie: Cisco → Linux namespaces → Docker → AWS. La tabella "Modello: container-firewall esplicito" nell'articolo Docker ha già la mappatura pronta (ns-fw1/fw2 → security group, docker network bridge → subnet, ip netns → istanza EC2) — questo lab la mette in pratica per davvero.

Non è un lab di cloud security puro. Farlo a mano sulla console AWS (o via CLI) sarebbe solo esercizio da esame AWS CP/Security Specialty — utile, ma non DevSecOps. Diventa DevSecOps scrivendo la stessa topologia in Terraform, con Checkov/tfsec che scansiona il codice prima di applicarlo: Infrastructure as Code verificata, non solo configurazione cloud. Stesso Cap 7 del syllabus (IaC), stessi tool già nel piano acquisti.

Quando farlo
#

Non ora. Prerequisito: sprint AWS Cloud Practitioner (17-23 agosto nel DEVSECOPS-SPRINT-TRACKER.md) completato — prima le basi VPC/Security Group/EC2, poi questo lab come ripasso pratico invece che scoperta alla cieca. Farlo prima sarebbe premature e con costo reale (EC2/NAT non sono gratis come Docker).

Correlazione con il percorso
#

  • Terraform Associate (Sprint Tracker) — stesso strumento, applicazione reale invece che solo tutorial
  • IaC-Hetzner (progetto già nel tracker) — stesso approccio "Terraform su infrastruttura reale", qui su AWS invece che Hetzner
  • CARRIERA-DEVSECOPS.md — copre la voce "Pipeline DevSecOps end-to-end" (IaC scanning) dei progetti non negoziabili

Backlog (obiettivi, non comandi)
#

  1. Topologia equivalente su AWS: VPC con 4 subnet (mappatura 1:1 con net_ext/net_dmz/net_mgmt/net_lan), Security Group per zona invece di container-firewall con iptables
  2. Scrivere tutto in Terraform da subito (non console prima e poi "traduci" — qui si parte già dichiarativo, a differenza del lab Docker dove l'imperativo veniva prima apposta per capire i meccanismi)
  3. checkov / tfsec sul codice prima di terraform apply — trovare le misconfigurazioni sulla carta, non dopo il deploy
  4. WAF: AWS WAF gestito (non un container ModSecurity cablato a mano) — confronto diretto con l'approccio "fai-da-te" del lab Docker
  5. Stessa suite di test end-to-end (richiesta legittima passa, SQLi bloccata, movimento laterale impossibile) — stavolta verificata su Security Group invece che iptables
  6. Scrivere l'articolo di chiusura serie, con tabella di confronto finale a 4 colonne (Cisco / namespace / Docker / AWS) invece delle 3 attuali

Note
#

  • Costo reale in gioco (EC2, NAT Gateway) — dimensionare il lab per stare nel free tier o spegnere tutto subito dopo i test
  • Il codice Terraform di questo lab va nello stesso repo GitHub del lab Docker (u-random-dev/docker-dmz o una cartella sorella aws-dmz), stessa logica di codice-a-corredo-dell'articolo

Related