Segurança em VPC com Network ACL e Security group \| TreinaWeb Promoção no ar Matricule-se agora e garanta **54% de desconto** Termina em Tempo restante da oferta: 14 Horas 52 Min 05 Seg Tempo restante da oferta: 14 52 05 [Assinar →](https://www.treinaweb.com.br/checkout/pagamento/plano/anual?cupom=TW-SCLIENTE26) [ ](https://www.treinaweb.com.br) Explorar [ Quanto custa? ](#assinatura) [ FAQ ](https://www.treinaweb.com.br#faq) [Matricule-se](#assinatura) [ Entrar ](https://www.treinaweb.com.br/login) [ Início ](https://www.treinaweb.com.br) [ Artigos ](https://www.treinaweb.com.br/blog) Segurança em VPC com Network ACL e Security group [ Amazon ](https://www.treinaweb.com.br/blog/categoria/amazon) [ Rede de computadores ](https://www.treinaweb.com.br/blog/categoria/rede-de-computadores) # Segurança em VPC com Network ACL e Security group Após criar uma VPC na AWS, não podemos nos descuidar com relação a segurança dessa rede. Existem duas formas de garantir a segurança em VPC no nível de rede: com Network ACL e security groups. [ Gabriel Machado ](https://www.treinaweb.com.br/blog/autor/gabriel-machado) 6 anos atrás ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/08/seguranca-em-vpc-com-network-acl-e-security-group.png) Após criar uma [VPC](https://www.treinaweb.com.br/blog/o-que-e-vpc-e-como-ela-funciona/ "VPC") na [AWS](https://www.treinaweb.com.br/blog/introducao-a-amazon-web-services-aws/ "AWS"), não podemos nos descuidar com relação a segurança dessa rede. Existem duas formas de garantir a segurança em VPC no nível de rede: com Network ACL e security groups. Nesse artigo vamos conhecer como funciona cada um deles e quais suas principais diferenças. [ ![Amazon Web Services (AWS) - Fundamentos](https://d2knvm16wkt3ia.cloudfront.net/assets/svg-icon/aws.svg) Curso Amazon Web Services (AWS) - Fundamentos Conhecer o curso ](https://www.treinaweb.com.br/curso/amazon-web-services-aws-fundamentos) ## Network ACL A primeira forma de implementar segurança na camada de rede da nossa VPC é através do [Network ACL](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-network-acls.html "Network ACL"). Com ele, você pode definir um conjunto de regras diretamente nas suas subnets, muito parecido com a configuração de um Firewall tradicional, o que acaba sendo uma boa opção para administradores de redes. Essas regras são compostas pelas seguintes partes: - Uma numeração, que define a sequência que as regras são avaliadas; - Porta ou range de portas, ou um tipo de serviço tratado nessa regra, como por exemplo, [HTTP](https://www.treinaweb.com.br/blog/o-que-e-http-request-get-post-response-200-404/ "HTTP") é um tipo de serviço já conhecido que permite liberar a porta 80; - Qual o protocolo de comunicação, como [TCP, UDP, entre outros](https://www.treinaweb.com.br/blog/uma-introducao-a-tcp-udp-e-sockets/ "TCP, UDP, entre outros"). Essa configuração pode ser definida em conjunto pelo tipo de serviço; - Qual a origem ou destino desse tráfego, definido como um endereçamento de [CIDR](https://pt.wikipedia.org/wiki/Roteamento_entre_dom%C3%ADnios_sem_classes "CIDR") (182.168.0.1/24 por exemplo); - Uma ação, seja ela para permitir (ALLOW) ou negar (DENY) o tráfego; - Uma descrição amigável para essa regra. É bom lembrar que o Network ACL funciona tanto para o tráfego de inbound como de outbound. Entenda como inbound todo tráfego que vai entrar na sua subnet. Por exemplo, ao acessar um servidor web, é enviado uma requisição na porta 80, sendo possível você permitir ou negar essa requisição, dependendo do CIDR de origem. Já o outbound se refere a todo tráfego de saída, como por exemplo, uma requisição enviada para uma API externa, ou a resposta de uma query no banco de dados. ## Exemplo de uma Network ACL Logo abaixo temos um exemplo de configuração de um Network ACL. Ela abrange regras tanto de inbound como de outbound para serviços comuns, como HTTP, HTTPS, SSH e RDP. Além das portas convencionais, em alguns casos vai ser necessário liberar as portas efêmeras, como é o caso da regra 120 de outbound, necessária para utilizar SSH por exemplo. ![Regras de Inbound](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/08/acl-inbound.png) ![Regras de Outbound](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/08/acl-outbound.png) As portas efêmeras, também conhecidas como portas dinâmicas ou portas altas, são portas utilizadas por um curto período de tempo para a continuação da conexão entre um cliente com um servidor para responder a conexões em uma porta comum (como a porta 22 de SSH). Portanto, tenha em mente que pode ser preciso permitir o tráfego nessas portas, caso seja necessário. ## Security group A segunda forma de implementar segurança na camada de rede na nossa VPC é através dos [security group](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_SecurityGroups.html "security group"). Ao contrário do Network ACL, as regras de security group são associadas ao nível do recurso. Isso permite a construção de regras mais granulares e funciona de forma mais integrada com um ambiente Cloud, sendo uma forma igualmente segura e amplamente utilizada. A definição de uma regra de security group é dividida pelas seguintes partes: - Um tipo de tráfego, seja um serviço, uma porta ou um range de portas; - Um protocolo, sendo os mais utilizados TCP ou UPD; - Qual a origem ou destino do tráfego, que pode ser tanto um endereçamento CIDR ou outro security group; - Uma descrição amigável. O security group também funciona tanto para inbound como para outbound, sendo que é mais comum configurar somente o inbound pela forma que o security group funciona. ## Exemplo de um security group Podemos observar abaixo um exemplo de algumas regras em um security group, definindo regras bastante semelhantes das configuradas com Network ACL: ![Regras de security group](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/08/sg-rules.png) Nessas regras, estamos permitindo o tráfego de qualquer rede nas portas 80 e 443 (HTTP e HTTPS), além de portas para administração dessa máquina virtual com SSH ou RDP, a partir de um bastion host. Não é preciso definir o outbound dessas conexões em um security group pois se o tráfego de entrada é permitido, o seu retorno automaticamente é permitido. Isso inclui serviços que usam portas efêmeras também. Além disso, as regras de outbound definidas permitem a conexão com banco de dados SQL Server ou MySQL que tenham um security group específico anexado a eles, limitando de forma bem granular o que aquele recurso pode de fato acessar. Vale lembrar que, mesmo podendo associar um mesmo security group em vários recursos, você tem um limite de até 5 security groups em cada recurso. Então lembre-se que pode não ser uma boa ideia criar security groups muito granulares, contendo uma única regra para maximizar seu reaproveitamento. Prefira security groups descritivos e que tenham uma responsabilidade clara, mesmo que envolva duplicar algumas regras. [ ![Rede de Computadores - Protocolo TCP/IP](https://d2knvm16wkt3ia.cloudfront.net/assets/svg-icon/rede-computadores.svg) Curso Rede de Computadores - Protocolo TCP/IP Conhecer o curso ](https://www.treinaweb.com.br/curso/rede-de-computadores-protocolo-tcp-ip) ## Comparação Agora que conhecemos cada uma das formas de deixar nossa VPC mais segura, vamos a uma breve comparação de cada uma dessas: Network ACL: - **Aplicado na subnet**: permite definir regras mais globais, que sejam efetivas em uma subnet completa; - **Transparente para os recursos**: todos os recursos dessa subnet tem seu tráfego filtrado, o que pode resultar em uma grande quantidade de regras; - **Pode permitir ou negar tráfego**: funciona de forma mais similar a um firewall convencional, podendo permitir (ALLOW) ou negar o tráfego (DENY); - **Interpretado sequencialmente**: cada regra é interpretada individualmente, onde a sequência que as regras são configuradas importa; - **Stateless**: necessário especificar tanto uma regra de inbound como outbound para liberar uma porta específica. Security group: - **Aplicado no recurso**: permite definir regras granulares, que sejam efetivas em um único recurso; - **Precisa ser aplicado em todos recursos**: para funcionar corretamente, o security group precisa estar associado com todos os recursos necessários, sendo fácil esquecer de configurar em algum recurso; - **Pode apenas permitir tráfego**: não é possível criar uma regra para negar o tráfego (DENY) em um security group; - **Interpretado de forma compilada**: como ele funciona anexado a um recurso, todas as regras dos security groups associadas nesse recurso são combinadas e as regras com maior abrangência são consideradas; - **Statefull**: todo o tráfego liberado em um security group tem seu retorno previamente liberado, o que facilita a sua configuração. Entretanto, nada impede que ambos sejam utilizados em conjunto. Você pode, por exemplo, permitir que os administradores de rede da sua empresa defina regras globais de acesso entre as subnets usando Network ACLs e criar regras mais granulares, para dividir ambientes de produção e desenvolvimento nas mesmas subnets usando security groups. ## Conclusão Conhecemos aqui as principais formas de deixar nossa VPC segura. Primeiramente vimos como funciona o Network ACL, em segundo lugar vimos o security group, ambos com regras de exemplos e uma comparação entre cada um deles. Nas próximas semanas será lançado o curso AWS - Ferramentas de Rede e Distribuição de Conteúdo - Fundamentos que irá abordar com muito mais detalhes como funciona a configuração de cada um desses recursos. [ ![Amazon Web Services (AWS) - Lambda - Fundamentos](https://d2knvm16wkt3ia.cloudfront.net/assets/svg-icon/aws.svg) Curso Amazon Web Services (AWS) - Lambda - Fundamentos Conhecer o curso ](https://www.treinaweb.com.br/curso/amazon-web-services-aws-lambda-fundamentos) Fiquem ligados e nos sigam nas nossas redes sociais, como [Twitter](https://twitter.com/treinaweb "Twitter"), [Instagram](https://www.instagram.com/treinaweb/ "Instagram"), [Facebook](https://www.facebook.com/TreinaWeb/ "Facebook") e [LinkedIn](https://www.linkedin.com/company/treinaweb/ "LinkedIn"). Assim que esse curso for lançado você saberá em primeira mão! - [ #AWS ](https://www.treinaweb.com.br/blog/tag/aws) - [ #vpc ](https://www.treinaweb.com.br/blog/tag/vpc) - [ #network acl ](https://www.treinaweb.com.br/blog/tag/network-acl) - [ #security group ](https://www.treinaweb.com.br/blog/tag/security-group) Autor ![Gabriel Machado](//secure.gravatar.com/avatar/411cd028754ca7f6e6dd7a06d87b883c?d=mm) ## Gabriel Machado Autor dos cursos de cloud computing da TreinaWeb. Graduado em Gestão de TI pela FATEC e quase bacharel em Sistemas de Informação pela UFSCar. Tem experiência em desenvolvimento backend com PHP, mas se encontrou trabalhando com DevOps. [Microsoft Certified: DevOps Engineer Expert](https://www.youracclaim.com/badges/8e06b17f-b5bb-42f5-9bda-e9b542050f1a/public_url), [Azure Solutions Architect Expert](https://www.youracclaim.com/badges/18364536-29fe-49ad-9afd-f4b5193b2e5b/public_url) e [Azure Data Engineer Associate](https://www.youracclaim.com/badges/c3e135d4-5f2f-4360-8739-c3002e713e77/public_url), [AWS Certified Solutions Architect - Associate](https://www.youracclaim.com/badges/5f9675e2-6662-4ce6-824b-5694955d3f5d/public_url), e [Zend Certified Engineer (ZCE)](https://www.zend.com/en/yellow-pages/ZEND026022). [@gmsantos](https://about.me/gmsantos) [Todos os artigos](https://www.treinaweb.com.br/blog/autor/gabriel-machado) ## Continue estudando Transforme leitura em prática com os cursos e formações da TreinaWeb. [Ver cursos](https://www.treinaweb.com.br/cursos) Continue lendo ## Artigos relacionados - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/07/AWS-VPC-400x280.png) [ Amazon ](https://www.treinaweb.com.br/blog/categoria/amazon) 6 anos atrás ## [ O que é VPC e como ela funciona? ](https://www.treinaweb.com.br/blog/o-que-e-vpc-e-como-ela-funciona) A VPC é o principal serviço de rede privada na AWS e ela tem uma íntima ligação em como suas aplicações estarão distribuídas dentro dos servidores da AWS. Vamos entender qual é a sua importância e o que podemos fazer com uma VPC na AWS. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/03/27144616/AWS-S3-400x280.png) [ Amazon ](https://www.treinaweb.com.br/blog/categoria/amazon) 7 anos atrás ## [ O que é AWS S3? ](https://www.treinaweb.com.br/blog/o-que-e-aws-s3) Nesse artigo vamos conhecer o AWS S3, um serviço de armazenamento de arquivos na nuvem da Amazon. Vamos conhecer suas vantagens, suas aplicações mais comuns e quando não utilizá-lo. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/03/06135633/AMAZON-AURORA-400x280.png) [ Bancos de Dados ](https://www.treinaweb.com.br/blog/categoria/bancos-de-dados) 7 anos atrás ## [ Primeiros passos com o Amazon Aurora ](https://www.treinaweb.com.br/blog/primeiros-passos-com-o-amazon-aurora) O Amazon Aurora é um banco de dados relacional da AWS compatível com MySQL e PostgreSQL. Nesse artigo vamos entender os benefícios do Amazon Aurora e como podemos criar nosso primeiro cluster utilizando o AWS CLI. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2017/06/seguranca-em-soa-como-proteger-os-web-services-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 10 anos atrás ## [ Segurança em SOA: Como proteger os web services? ](https://www.treinaweb.com.br/blog/seguranca-em-soa-como-proteger-os-web-services) Você sabe realmente como deve funcionar e como proteger um serviço SOA? Veremos nesse artigo como proteger web services que utilizem a arquitetura SOA. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2023/09/guia-termos-comuns-seguranca-400x280.png) [ Guias ](https://www.treinaweb.com.br/blog/categoria/guias) 3 anos atrás ## [ Guia de termos comuns de segurança ](https://www.treinaweb.com.br/blog/guia-de-termos-comuns-de-seguranca) Neste guia de segurança veremos alguns dos principais ataques que podem acontecer na web. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/10/pilares-da-seguranca-da-informacao-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 6 anos atrás ## [ Pilares da Segurança da Informação ](https://www.treinaweb.com.br/blog/pilares-da-seguranca-da-informacao) As empresas tem se atentado aos pilares da segurança da informação, para garantir a proteção de seus dados. Confira neste artigo quais são esses pilares. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/07/capa-termos-comuns-segurança-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 6 anos atrás ## [ Termos comuns de segurança ](https://www.treinaweb.com.br/blog/termos-comuns-de-seguranca) Quando falamos sobre a área de Segurança dentro da Tecnologia da Informação, é comum que existam termos que até já ouvimos falar, mas não sabemos ao certo o que significam. Por isso, neste artigo, vamos abordar alguns termos comuns de segurança. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/07/PAY-FOR-UNLOCK-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 6 anos atrás ## [ Termos comuns de segurança: Ransomware ](https://www.treinaweb.com.br/blog/termos-comuns-de-seguranca-ransomware) Você sabia que seus arquivos podem ser criptografados por hackers que exigem dinheiro para liberá-los? Confira neste artigo o Ransomware e como evitá-lo. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/06/HTTPS-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 7 anos atrás ## [ Termos comuns de segurança: HTTPS ](https://www.treinaweb.com.br/blog/termos-comuns-de-seguranca-https) Com certeza, ao navegar na internet, você já viu no começo da URL o protocolo HTTPS. Mas, você sabe para que serve e como funciona esse protocolo? Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/05/MAN-IN-THE-MIDDLE-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 7 anos atrás ## [ Termos comuns de segurança: man-in-the-middle ](https://www.treinaweb.com.br/blog/termos-comuns-de-seguranca-man-in-the-middle) Os hackers estão sempre em busca de ataques que os ajudem a chegar em seus objetivos. Um desses ataques é o man-in-the-middle, que veremos neste artigo. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/05/capa-DDoS-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 7 anos atrás ## [ Termos comuns de segurança: DDoS ](https://www.treinaweb.com.br/blog/termos-comuns-de-seguranca-ddos) Continuando com nossa série de artigos sobre os termos comuns de segurança, vamos abordar hoje o DDoS – sigla para Distributed Denial of Service. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/05/ZERO-DAY-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 7 anos atrás ## [ Termos comuns de segurança: Zero-day ](https://www.treinaweb.com.br/blog/termos-comuns-de-seguranca-zero-day) Confira neste artigo o que é uma falha zero-day e como essas brechas são exploradas. Ler artigo ## Um ano de acesso total para você viver de programação. Todos os cursos e formações da TreinaWeb numa única assinatura, com professores que atuam no mercado, suporte direto e certificados. Do primeiro `console.log` ao mercado de trabalho. - **1 ano** de acesso a **todos os cursos** - Cursos novos **toda semana** - Suporte **direto com professores** - Plano de carreira **personalizado** - **Certificados digitais** inclusos - **Aplicativos** para Android e iOS, com **acesso offline** **Garantia incondicional de satisfação** Teste por 7 dias e, se não fizer sentido para você, devolvemos seu dinheiro. ### Acesso completo a todos os cursos e dezenas de Formações. 12 meses Economize R$ 840,00 54% OFF de 12x R$ 129,00 por apenas 12x R$ 59,00 sem juros no cartão de crédito ou R$ 599,00 à vista Oferta termina em **14h 52min 05s** - Acesso imediato e ilimitado durante 1 ano. - Plano de carreira personalizado. - Suporte direto com professores. - E muito mais! [Matricule-se agora](https://www.treinaweb.com.br/checkout/pagamento/plano/anual?cupom=TW-SCLIENTE26) [ ](https://www.treinaweb.com.br) Escola online de programação, tecnologia e IA. - [ ](https://www.facebook.com/TreinaWeb/) - [ ](https://www.instagram.com/treinaweb/) - [ ](https://www.youtube.com/user/TreinaWeb) - [ ](https://twitter.com/treinaweb) - [ ](https://www.linkedin.com/company/treinaweb) - [ ](https://github.com/treinaweb) ## Inscreva-se em nossa newsletter Receba lançamentos, promoções e novidades. Seu nome Seu WhatsApp Seu melhor e-mail Inscrever-se ## Cursos - [ Base para Devs ](https://www.treinaweb.com.br/categoria/base-para-devs) - [ Front-end ](https://www.treinaweb.com.br/categoria/desenvolvimento-front-end) - [ Back-end ](https://www.treinaweb.com.br/categoria/desenvolvimento-back-end) - [ Mobile ](https://www.treinaweb.com.br/categoria/desenvolvimento-mobile) - [ Bancos de Dados ](https://www.treinaweb.com.br/categoria/bancos-de-dados) - [ Cloud ](https://www.treinaweb.com.br/categoria/cloud-computing) - [ IA ](https://www.treinaweb.com.br/categoria/ia) - [ E mais ](https://www.treinaweb.com.br/categoria/e-mais) - [ Ver todos os cursos ](https://www.treinaweb.com.br/cursos) ## Conteúdo - [ Formações ](https://www.treinaweb.com.br/formacoes) - [ Projetos práticos ](https://www.treinaweb.com.br/projetos-praticos) - [ Direto ao ponto ](https://www.treinaweb.com.br/direto-ao-ponto) - [ Planos ](https://www.treinaweb.com.br#assinatura) - [ Depoimentos ](https://www.treinaweb.com.br#depoimentos) - [ Comunidade ](https://www.treinaweb.com.br#comunidade) - [ Corpo docente ](https://www.treinaweb.com.br#docente) ## A empresa - [ Sobre a TreinaWeb ](https://www.treinaweb.com.br#sobre) - [ Perguntas frequentes ](https://www.treinaweb.com.br#faq) - [ Vantagens de estudar na TreinaWeb ](https://www.treinaweb.com.br/vantagens-de-estudar-na-treinaweb) - [ Cursos para empresas ](https://www.treinaweb.com.br/empresas) - [ Sugira um novo curso ](https://www.treinaweb.com.br/sugerir-curso) - [ Trabalhe conosco ](https://www.treinaweb.com.br/trabalhe-conosco) - [ Artigos ](https://www.treinaweb.com.br/blog) - [ Desenvolvedores e agentes ](https://www.treinaweb.com.br/developers) - [ Contato ](https://www.treinaweb.com.br/contato) - [ Política de privacidade ](https://www.treinaweb.com.br/politica-de-privacidade) - [ Termos de uso ](https://www.treinaweb.com.br/termos-de-uso) ## Baixe nosso aplicativo [ Disponível na **App Store** ](https://apps.apple.com/us/app/treinaweb/id1322729447) [ Disponível no **Google Play** ](https://play.google.com/store/apps/details?id=br.com.treinaweb.mobile) Av. Paulista, 1765, Conj 71 e 72 · Bela Vista · São Paulo · SP · 01311-200 © 2004 – 2026 TreinaWeb Tecnologia LTDA · CNPJ 06.156.637/0001-58