Egress Filtering Cloud

Définition

L'Egress Filtering Cloud désigne les contrôles surveillant et filtrant le trafic réseau sortant (outbound) depuis des workloads cloud. Alors que le filtrage entrant (inbound) est souvent bien géré via les Security Groups, le filtrage sortant est critique pour prévenir l'exfiltration de données et les communications C2 depuis des workloads compromis. L'egress filtering dans les VPCs s'implémente à plusieurs niveaux. Au niveau réseau : les Security Groups et NSGs avec des règles egress restrictives bloquent les connexions directes vers des destinations non autorisées. Au niveau DNS : Route 53 Resolver DNS Firewall (AWS), Cloud DNS Response Policy Zones (GCP), et Azure Private DNS Resolver filtrent les résolutions de domaines malveillants avant que la connexion TCP soit établie. Au niveau applicatif : des proxy web sortants (AWS Network Firewall, squid) inspectent le contenu HTTP/HTTPS. AWS Network Firewall est le service managé d'inspection egress pour les VPCs. En mode Stateful avec règles Suricata, il détecte et bloque les signatures de malwares et C2 dans le trafic. Les domain allowlists (autoriser uniquement *.amazonaws.com et les domaines métier connus) implémentent une stratégie default-deny pour le trafic sortant. Les logs Network Firewall (Flow logs et Alert logs) alimentent le SIEM pour la détection des anomalies. Le DNS tunneling est un vecteur d'exfiltration fréquemment sous-estimé : les données sont encodées dans des requêtes DNS vers des domaines contrôlés par l'attaquant. Les patterns détectables incluent des sous-domaines anormalement longs (plus de 50 caractères), un volume élevé de requêtes NXDOMAIN vers le même domaine parent, et des requêtes vers des domaines récemment enregistrés. Route 53 Resolver query logging alimente le SIEM pour ces analyses. La stratégie d'egress la plus sécurisée est le whitelisting (autoriser uniquement les destinations connues) plutôt que le blacklisting (bloquer les destinations malveillantes connues). Cette approche inverse le modèle par défaut et réduit drastiquement le risque d'exfiltration via des domaines non répertoriés dans les blocklists.