AWS’te Gelen Trafiği Güvence Altına Almak: Peki Ya Giden Trafik?

AWS’te Gelen Trafiği Güvence Altına Almak: Peki Ya Giden Trafik?

Bulut ortamlarında güvenlik denildiğinde akla ilk gelen genellikle gelen (inbound) trafiği korumak olur. Sunucularımıza dışarıdan gelebilecek saldırılara, yetkisiz erişimlere veya kötü amaçlı isteklere karşı önlemler almak, web uygulamalarımızı bir güvenlik duvarının (firewall) arkasına gizlemek çoğu zaman önceliklidir. Ancak, dijital dünyada tek yönlü bir tehdit akışı yoktur. Peki ya sistemlerinizden dışarıya doğru akan (outbound) trafik? AWS altyapınızdaki bir sunucunun, bir konteynerin veya sunucusuz (serverless) bir fonksiyonun bilginiz dışında kötü amaçlı bir sunucuyla iletişim kurduğunu, hassas verilerinizi dışarı sızdırdığını veya bir fidye yazılımı (ransomware) saldırısı başlattığını hayal edin. İşte tam da bu noktada, giden trafik güvenliği, siber savunma stratejinizin vazgeçilmez bir parçası haline gelir.

Neden Giden Trafik Güvenliği Bu Kadar Önemli? Gözden Kaçan Tehditler Nelerdir?

Gelen trafik güvenliği genellikle “kale duvarları” inşa etmek olarak tanımlanırken, giden trafik güvenliği “kalenin içinden dışarıya açılan kapıları kontrol etmek” anlamına gelir. Çoğu kuruluş, dışarıdan içeriye yönelik tehditlere odaklanırken, içeriden dışarıya doğru gerçekleşebilecek potansiyel tehlikeleri göz ardı edebilir. Oysa bu tür tehditler, genellikle daha yıkıcı sonuçlara yol açabilir çünkü iç sistemlere zaten bir şekilde erişim sağlanmıştır.

Giden trafik güvenliğini ihmal etmek, AWS ortamınızda bir dizi ciddi riske kapı aralar. Bu riskler, basit yapılandırma hatalarından sofistike siber saldırılara kadar geniş bir yelpazeyi kapsar. Öncelikle, kötü amaçlı yazılımların (malware) veya fidye yazılımlarının komuta ve kontrol (Command and Control – C2) sunucularıyla iletişim kurması, en yaygın tehditlerden biridir. Bir saldırgan, sisteminize sızdıktan sonra, genellikle C2 sunucuları aracılığıyla talimatlar alır, ek kötü amaçlı yazılımlar indirir veya saldırının bir sonraki aşamasını planlar. Eğer giden trafik kontrol altında değilse, bu iletişim kolayca gerçekleşebilir ve tespit edilmesi zorlaşır.

Bir diğer kritik risk ise veri sızması (data exfiltration) veya veri hırsızlığıdır. Saldırganlar, ele geçirdikleri hassas müşteri verilerini, fikri mülkiyet bilgilerini veya finansal kayıtları, AWS ortamınızdan kendi kontrolündeki sunuculara aktarmak isteyebilirler. Eğer giden trafik kuralları bu tür aktarımları kısıtlamıyorsa, büyük ölçekli veri ihlalleri meydana gelebilir ve bu durum, ciddi itibar kaybına, yasal sorunlara ve finansal cezalara yol açabilir. Örneğin, bir veritabanı sunucusunun normalde sadece belirli bir yedekleme hizmetiyle veya bir analiz platformuyla konuşması gerekirken, aniden bilinmeyen bir IP adresine büyük miktarda veri göndermesi ciddi bir alarm işaretidir.

Ayrıca, yapılandırma hataları veya kötü amaçlı iç aktörler (insider threat) de giden trafik üzerinden sorun yaratabilir. Yanlışlıkla açılan geniş kapsamlı giden trafik kuralları, bir uygulamanın gereksiz yere internetin tamamına erişmesine izin verebilir. Bu durum, uygulamanın güvenlik açıklarından yararlanılarak farklı kötü amaçlı faaliyetler için kullanılmasına zemin hazırlayabilir. Örneğin, bir EC2 örneğinin (instance) yanlışlıkla bir spam botnet’inin parçası haline gelmesi veya bir kripto para madenciliği (cryptocurrency mining) saldırısında kullanılması mümkündür. Bu tür durumlar, AWS faturalarınızda beklenmedik artışlara ve ağ performansında düşüşlere de neden olabilir.

Son olarak, uyumluluk (compliance) ve regülasyonlar da giden trafik güvenliğini zorunlu kılar. GDPR, HIPAA, PCI DSS gibi birçok düzenleme, hassas verilerin nasıl işlendiği, saklandığı ve aktarıldığı konusunda katı kurallar içerir. Giden trafiğin izlenmesi ve kontrol edilmesi, bu düzenlemelere uyum sağlamak için temel bir gerekliliktir. Kapsamlı bir giden trafik stratejisi olmadan, denetimlerde (audits) başarısız olma riskiyle karşı karşıya kalabilirsiniz. Tüm bu nedenler göz önüne alındığında, giden trafik güvenliği, AWS ortamınızın genel güvenlik duruşunun ayrılmaz ve kritik bir bileşenidir.

AWS’te Giden Trafik Güvenliğinin Temelleri Nelerdir?

AWS’te giden trafik güvenliğini sağlamak için kullanılan temel bileşenler, sanal ağ altyapısının (Virtual Network Infrastructure) kalbinde yer alır. Bu bileşenler, trafiği filtrelemek, izlemek ve yönlendirmek için birlikte çalışır. Bu bölümde, AWS ortamında giden trafik güvenliğini sağlayan ana yapı taşlarını inceleyeceğiz.

Sanal Özel Bulut (VPC) ve Alt Ağlar (Subnets)

Her şeyin başladığı yer Sanal Özel Bulut (VPC – Virtual Private Cloud) kavramıdır. VPC, AWS bulutunda sizin için ayrılmış, mantıksal olarak izole edilmiş bir ağdır. Kendi IP adres aralıklarınızı tanımlayabilir, alt ağlar (subnets) oluşturabilir ve sanal ağ geçitleri (gateways) ile yönlendirme tablolarını (route tables) yapılandırabilirsiniz. Giden trafik güvenliği için VPC, ağ segmentasyonunun (network segmentation) temelini oluşturur. Örneğin, veritabanı sunucularınızı, uygulama sunucularınızı ve web sunucularınızı farklı alt ağlara yerleştirmek, aralarındaki trafiği daha kolay kontrol etmenizi sağlar. Genellikle, internete doğrudan erişime ihtiyaç duymayan hassas kaynaklar (veritabanları gibi) özel alt ağlara (private subnets) yerleştirilirken, web sunucuları gibi dışarıdan erişilebilir olması gereken kaynaklar genel alt ağlara (public subnets) konumlandırılır. Bu ayrım, giden trafik kontrolü için ilk adımdır.

Güvenlik Grupları (Security Groups)

Güvenlik Grupları (Security Groups), AWS’te sanal güvenlik duvarları (virtual firewalls) olarak işlev görür ve bir EC2 örneği (instance) veya ENI (Elastic Network Interface) seviyesinde çalışır. Güvenlik grupları, durumu koruyan (stateful) güvenlik duvarlarıdır. Bu, giden bir isteğe izin verildiğinde, yanıt trafiğinin otomatik olarak geri dönmesine izin verildiği anlamına gelir. Gelen (inbound) ve giden (outbound) trafik için ayrı kurallar tanımlayabilirsiniz. Varsayılan olarak, bir güvenlik grubu tüm giden trafiğe izin verir. Bu, birçok senaryoda uygun olsa da, sıkı güvenlik gereksinimleri olan ortamlar için bir risk oluşturabilir. Giden trafiği kısıtlamak için, sadece belirli hedeflere (IP adresleri, diğer güvenlik grupları) ve belirli portlara (örneğin, 443 HTTPS için) izin veren kurallar tanımlamanız gerekir. Örneğin, bir uygulama sunucusunun sadece bir veritabanı sunucusuna 3306 portundan veya bir dış API’ye 443 portundan erişmesine izin verebilirsiniz. Bu, kötü amaçlı yazılımların C2 sunucularıyla iletişim kurmasını veya hassas verilerin istenmeyen hedeflere sızmasını engellemek için kritik bir adımdır.

Ağ ACL’leri (Network Access Control Lists – NACLs)

Ağ ACL’leri (Network Access Control Lists – NACLs), alt ağ seviyesinde çalışan durumsuz (stateless) güvenlik duvarlarıdır. Güvenlik gruplarından farklı olarak, NACL’ler hem gelen hem de giden trafik için ayrı kurallar gerektirir ve bir isteğe izin verildiğinde, yanıt trafiği için de açıkça bir kural tanımlamanız gerekir. NACL’ler, belirli IP adreslerinden veya IP adreslerine giden veya gelen trafiği engellemek veya izin vermek için kullanılır. Varsayılan olarak, yeni bir NACL tüm trafiğe izin verir, ancak özel bir NACL oluşturduğunuzda, tüm trafiği reddeder ve yalnızca açıkça izin verdiğiniz trafiğe izin verir. NACL’ler, güvenlik gruplarına ek bir güvenlik katmanı sağlar ve genellikle daha geniş kapsamlı reddetme (deny) kuralları uygulamak için kullanılır. Örneğin, bilinen kötü amaçlı IP aralıklarına giden tüm trafiği bir NACL ile engelleyebilirsiniz. Güvenlik grupları genellikle bireysel örnekler için hassas kontrol sağlarken, NACL’ler alt ağlar içindeki tüm örnekler için daha geniş kapsamlı ve kaba taneli (coarse-grained) kontrol sağlar.

NAT Gateway ve İnternet Ağ Geçidi (Internet Gateway)

Özel alt ağlardaki (private subnets) kaynakların internete erişebilmesi için doğrudan bir İnternet Ağ Geçidi’ne (Internet Gateway – IGW) bağlanamazlar. İşte burada NAT Gateway devreye girer. NAT Gateway, özel alt ağlardaki örneklerin internete giden trafiği başlatmasına olanak tanır, ancak dışarıdan gelen istenmeyen bağlantılara izin vermez. Bu, özel sunucularınızın güvenlik güncellemelerini indirmesi veya dış API’lere erişmesi gerektiğinde kritik öneme sahiptir. NAT Gateway’ler yüksek oranda erişilebilir (highly available) ve yönetilen bir hizmettir. İnternet Ağ Geçidi (IGW) ise genel alt ağlardaki (public subnets) örneklerin doğrudan internete erişimini sağlar. Giden trafik güvenliği bağlamında, NAT Gateway’i kullanmak, tüm giden trafiği tek bir noktadan yönlendirme ve bu noktada güvenlik kontrolleri (örneğin, bir güvenlik duvarı) uygulama yeteneği sunarak önemli bir avantaj sağlar. Bu sayede, özel alt ağlarınızdaki kaynakların doğrudan internete çıkmasını engelleyerek saldırı yüzeyinizi (attack surface) azaltmış olursunuz.

Bu temel AWS bileşenlerini doğru bir şekilde yapılandırmak, giden trafik güvenliğinizin temelini oluşturur. Her bir bileşenin kendine özgü rolünü ve güvenlik grubu ile NACL arasındaki farkları anlamak, etkili bir savunma stratejisi oluşturmak için hayati öneme sahiptir.

Giden Trafiği Filtrelemek İçin AWS Güvenlik Gruplarını ve Ağ ACL’lerini Nasıl Kullanabiliriz?

AWS’te giden trafiği filtrelemenin iki temel ve en sık kullanılan yolu, Güvenlik Grupları (Security Groups) ve Ağ ACL’leridir (Network Access Control Lists – NACLs). Her ikisi de güvenlik duvarı işlevi görse de, çalışma şekilleri ve uygulandıkları seviyeler farklıdır. Bu farkları anlamak ve doğru bir şekilde yapılandırmak, kapsamlı bir giden trafik güvenliği stratejisi için elzemdir.

Güvenlik Grupları ile Giden Trafik Kısıtlamaları

Güvenlik Grupları, bir EC2 örneği veya ENI seviyesinde çalışan durum koruyan (stateful) sanal güvenlik duvarlarıdır. Varsayılan olarak, yeni oluşturulan bir güvenlik grubu tüm giden trafiğe izin verir (0.0.0.0/0 IP adresine tüm protokollere ve tüm portlara izin veren bir kural). Bu varsayılan kural, çoğu zaman güvenlik açısından bir zafiyet oluşturur çünkü bir örnek (instance) ele geçirildiğinde, dışarıdaki herhangi bir hedefe serbestçe iletişim kurabilir.

En iyi uygulama, bu varsayılan kuralı kaldırmak ve sadece uygulamanızın gerçekten ihtiyaç duyduğu giden bağlantılara izin veren minimum ayrıcalık (least privilege) prensibini uygulamaktır. Örneğin, bir web sunucusunun sadece bir veritabanı sunucusuyla (belirli bir porttan), bir dış API ile (HTTPS – port 443) ve belki de bir paket yöneticisi deposuyla (HTTP – port 80 veya HTTPS – port 443) iletişim kurması gerekiyorsa, sadece bu bağlantılara izin veren kurallar tanımlamalısınız. Diğer tüm giden trafiği açıkça reddetmek, veri sızması veya C2 iletişimi gibi tehditleri büyük ölçüde azaltır.

Bir örnek senaryo düşünelim: Bir uygulama sunucunuz (app-server-sg güvenlik grubu) var ve bu sunucunun sadece şirket içi bir veritabanı sunucusuna (db-server-sg güvenlik grubu) MySQL (port 3306) üzerinden ve bir dış analiz hizmetine (api.example.com IP adresi 203.0.113.10) HTTPS (port 443) üzerinden erişmesi gerekiyor. Bu durumda, app-server-sg güvenlik grubuna aşağıdaki giden kuralları eklersiniz:

• Hedef: db-server-sg, Protokol: TCP, Port Aralığı: 3306
• Hedef: 203.0.113.10/32, Protokol: TCP, Port Aralığı: 443

Bu kuralları AWS CLI ile şu şekilde ekleyebilirsiniz:

aws ec2 authorize-security-group-egress \
    --group-id sg-0abcdef1234567890 \
    --protocol tcp \
    --port 3306 \
    --destination-security-group-id sg-0fedcba9876543210 \
    --description "Uygulama sunucusundan DB sunucusuna MySQL erişimi"

aws ec2 authorize-security-group-egress \
    --group-id sg-0abcdef1234567890 \
    --protocol tcp \
    --port 443 \
    --cidr 203.0.113.10/32 \
    --description "Uygulama sunucusundan dış API'ye HTTPS erişimi"

Bu örnekte, sg-0abcdef1234567890 uygulama sunucusunun güvenlik grubu kimliği, sg-0fedcba9876543210 ise veritabanı sunucusunun güvenlik grubu kimliğidir. Bu yaklaşım, uygulama sunucunuzun sadece izin verilen hedeflerle iletişim kurmasını sağlayarak güvenlik duruşunuzu önemli ölçüde güçlendirir.

Ağ ACL'leri (NACL'ler) ile Giden Trafik Kısıtlamaları

NACL'ler, alt ağ seviyesinde çalışan durumsuz (stateless) güvenlik duvarlarıdır. Bu, hem gelen hem de giden trafik için ayrı kurallar tanımlamanız gerektiği anlamına gelir. Bir NACL'de her kurala bir numara atanır ve kurallar en düşük numaradan en yükseğe doğru işlenir. Bir kural eşleştiğinde, diğer kurallar değerlendirilmez. Son kural (genellikle * veya 100 gibi yüksek bir numara), açıkça eşleşmeyen tüm trafiği reddeden varsayılan bir reddetme (deny) kuralıdır.

NACL'ler, güvenlik gruplarına ek bir güvenlik katmanı olarak veya daha geniş kapsamlı reddetme kuralları uygulamak için kullanılabilir. Örneğin, bilinen kötü amaçlı IP adres aralıklarına giden tüm trafiği bir alt ağdan engellemek isteyebilirsiniz. Veya, belirli bir alt ağdaki tüm örneklerin sadece belirli bir port üzerinden dışarı çıkmasına izin verirken, diğer tüm portları engelleyebilirsiniz.

Bir NACL kuralı şu bileşenlerden oluşur:

• Kural Numarası: 1 ile 32766 arasında bir sayı. Daha düşük numaralı kurallar daha yüksek önceliğe sahiptir.
• Tür (Type): Tüm Trafik, SSH, HTTP, HTTPS vb.
• Protokol (Protocol): TCP, UDP, ICMP vb.
• Port Aralığı (Port Range): Hedef port veya port aralığı.
• Kaynak (Source) / Hedef (Destination): CIDR bloğu (örneğin, 192.168.1.0/24 veya 0.0.0.0/0).
• İzin Ver (Allow) / Reddet (Deny): Trafiğe izin verilip verilmeyeceği.

Örnek bir NACL senaryosu: Bir özel alt ağdaki tüm kaynakların sadece 443 (HTTPS) portundan dışarı çıkmasına izin vermek, diğer tüm portları engellemek istiyorsunuz. Ayrıca, bilinen bir kötü amaçlı IP adresine (örneğin, 198.51.100.0/24) giden trafiği tamamen engellemek istiyorsunuz.

Bu durumda, NACL'nize aşağıdaki giden (egress) kuralları ekleyebilirsiniz:

• Kural Numarası: 100, Tür: Tüm Trafik, Protokol: Tüm, Port Aralığı: Tüm, Hedef: 198.51.100.0/24, Eylem: Reddet (Deny)
• Kural Numarası: 110, Tür: HTTPS, Protokol: TCP, Port Aralığı: 443, Hedef: 0.0.0.0/0, Eylem: İzin Ver (Allow)
• Kural Numarası: 120, Tür: HTTP, Protokol: TCP, Port Aralığı: 80, Hedef: 0.0.0.0/0, Eylem: İzin Ver (Allow) (paket yöneticileri için gerekli olabilir)
• Kural Numarası: 32767, Tür: Tüm Trafik, Protokol: Tüm, Port Aralığı: Tüm, Hedef: 0.0.0.0/0, Eylem: Reddet (Deny) (Varsayılan reddetme kuralı)

Unutulmamalıdır ki, NACL'ler durumsuz olduğu için, eğer giden bir isteğe izin veriyorsanız, bu isteğin yanıtının geri gelmesi için de ilgili gelen (inbound) kuralı tanımlamanız gerekir. Örneğin, 443 portundan giden trafiğe izin veriyorsanız, dinamik port aralığından (1024-65535) gelen yanıt trafiğine de izin vermeniz gerekebilir. Bu, NACL'leri güvenlik gruplarına göre daha karmaşık hale getirebilir, ancak alt ağ seviyesinde güçlü ve geniş kapsamlı kontrol sağlar.

Özetle, Güvenlik Grupları bireysel örnekler için hassas kontrol sağlarken, NACL'ler alt ağlar için daha geniş kapsamlı bir güvenlik katmanı sunar. En iyi güvenlik duruşu için her ikisini de birlikte ve tamamlayıcı bir şekilde kullanmak önemlidir. Güvenlik gruplarını minimum ayrıcalıkla yapılandırın ve NACL'leri alt ağ seviyesinde ek bir reddetme veya geniş filtreleme katmanı olarak kullanın.

NAT Gateway ve İnternet Ağ Geçidi ile Giden Trafik Yönetimi Nasıl Yapılır?

AWS'te sanal sunucularımızın (EC2 instances) internete erişimi, genellikle Sanal Özel Bulut (VPC) içinde konumlandırıldıkları alt ağ türüne bağlıdır. Genel alt ağlar (public subnets) ve özel alt ağlar (private subnets) arasındaki bu ayrım, giden trafik yönetiminde İnternet Ağ Geçidi (Internet Gateway - IGW) ve NAT Gateway'in rollerini belirler. Bu iki hizmet, farklı güvenlik ve erişim ihtiyaçlarına yönelik çözümler sunar.

İnternet Ağ Geçidi (Internet Gateway - IGW)

İnternet Ağ Geçidi (IGW), VPC'niz ile internet arasında bir köprü görevi görür. Genel alt ağlarda (public subnets) bulunan örneklerin doğrudan internete bağlanmasını sağlar. Bir alt ağı "genel" yapmak için, o alt ağın yönlendirme tablosunda (route table) internete (0.0.0.0/0) giden trafiğin IGW'ye yönlendirilmesi gerekir. Bir EC2 örneğinin genel bir IP adresi veya bir Elastic IP adresi varsa ve genel bir alt ağda bulunuyorsa, IGW üzerinden internete doğrudan erişebilir.

IGW'nin giden trafik güvenliği bağlamındaki rolü, genellikle genel alt ağlardaki web sunucuları, yük dengeleyiciler (load balancers) veya diğer internete açık hizmetler için doğrudan internet erişimi sağlamaktır. Bu tür örneklerin, güvenlik güncellemelerini indirmesi, dış API'lere erişmesi veya kullanıcı isteklerine yanıt vermesi gerekebilir. Ancak, IGW üzerinden doğrudan internete erişen her örneğin, kendi Güvenlik Grubu (Security Group) ve alt ağına bağlı Ağ ACL (NACL) kurallarıyla sıkı bir şekilde korunması esastır. Doğrudan internet erişimi, potansiyel saldırı yüzeyini artırdığı için, bu tür örneklerde en az ayrıcalık (least privilege) prensibiyle giden trafik kurallarını uygulamak kritik öneme sahiptir.

NAT Gateway

Özel alt ağlarda (private subnets) yer alan kaynaklar, varsayılan olarak internete doğrudan erişemezler. Ancak, bu kaynakların (örneğin, veritabanı sunucuları, uygulama sunucuları, arka uç hizmetleri) işletim sistemi güncellemelerini indirmesi, yazılım paketlerini kurması veya dış API'lere güvenli bir şekilde erişmesi gerekebilir. İşte bu noktada NAT Gateway devreye girer. NAT Gateway, özel alt ağlardaki örneklerin internete giden bağlantılar başlatmasına olanak tanır, ancak dışarıdan gelen istenmeyen bağlantıları engeller. Bu, özel kaynaklarınızın internete çıkarken güvenliğini sağlamak için hayati bir hizmettir.

Bir NAT Gateway genellikle bir genel alt ağa (public subnet) yerleştirilir ve bir Elastic IP adresi ile ilişkilendirilir. Özel alt ağların yönlendirme tabloları, internete (0.0.0.0/0) giden tüm trafiği bu NAT Gateway'e yönlendirecek şekilde yapılandırılır. NAT Gateway, özel alt ağlardaki örneklerden gelen giden trafiği alır, kaynak IP adresini kendi Elastic IP adresiyle değiştirir (Ağ Adresi Çevirisi - Network Address Translation yapar) ve ardından trafiği İnternet Ağ Geçidi üzerinden internete gönderir. Yanıt trafiği NAT Gateway'e geri döndüğünde, NAT Gateway bunu orijinal özel örneğe geri yönlendirir.

NAT Gateway kullanmanın giden trafik güvenliği açısından önemli avantajları vardır:

• Tek Çıkış Noktası (Single Egress Point): Tüm özel alt ağ trafiği tek bir yerden internete çıkar. Bu, giden trafiği izlemeyi ve denetlemeyi kolaylaştırır. Tüm trafiği bir NAT Gateway üzerinden yönlendirerek, bu noktada merkezi güvenlik kontrolleri (örneğin, bir AWS Network Firewall veya üçüncü taraf güvenlik duvarı) uygulayabilirsiniz.
• IP Adresi Gizleme: Özel alt ağlardaki örneklerin dahili IP adresleri internete açılmaz. Bu, saldırganların iç ağ yapınızı keşfetmesini zorlaştırır ve doğrudan saldırı yüzeyinizi azaltır.
• Yönetilen Hizmet: AWS tarafından yönetilen bir hizmet olduğu için yüksek erişilebilirlik (high availability) ve otomatik ölçeklendirme (automatic scaling) sunar, böylece altyapı yönetimi yükünüz azalır.

Farklar ve Kullanım Senaryoları

IGW ve NAT Gateway arasındaki temel fark, IGW'nin hem gelen hem de giden trafiğe izin vermesi (genel IP'si olan örnekler için) ve doğrudan internet erişimi sağlamasıyken, NAT Gateway'in sadece özel alt ağlardan giden trafiğe izin vermesidir (internete gelen bağlantıları engeller). Bu fark, onları farklı kullanım senaryoları için uygun hale getirir:

• IGW Kullanım Senaryoları: Web sunucuları, API ağ geçitleri, yük dengeleyiciler gibi doğrudan internetten erişilebilir olması gereken hizmetler. Bu hizmetler için güvenlik grupları ve NACL'ler ile sıkı gelen ve giden kurallar uygulanmalıdır.
• NAT Gateway Kullanım Senaryoları: Veritabanı sunucuları, uygulama sunucuları, arka uç işleme örnekleri gibi internete doğrudan açık olmaması gereken, ancak güvenlik güncellemeleri veya dış hizmetlerle entegrasyon için giden internet erişimine ihtiyaç duyan kaynaklar. Bu senaryoda NAT Gateway, güvenlik ve işlevsellik arasında ideal bir denge sağlar.