Reglas de seguridad gestionadas de forma centralizada con AWS Firewall Manager - Despliegue de WAF y Security Groups en toda la organización

Explicamos cómo gestionar de forma centralizada las reglas de WAF, los Security Groups y las políticas de Network Firewall de todo Organizations, y mantener la línea base de seguridad de toda la organización mediante la aplicación automática a las cuentas nuevas.

Unos 8 min de lecturaÚltima actualización: 2026-10-31

Descripción general de Firewall Manager

AWS Firewall Manager es un servicio de gestión de seguridad que gestiona de forma centralizada las reglas de firewall de todo Organizations. Permite aplicar de una sola vez a toda la organización reglas de WAF, protección de Shield Advanced, reglas de Security Group, políticas de Network Firewall y reglas de Route 53 Resolver DNS Firewall. Cuando se añaden cuentas o recursos nuevos, las políticas de seguridad ya definidas se aplican automáticamente, por lo que el mantenimiento de la línea base de seguridad queda asegurado. Si se gestionan manualmente las reglas de WAF y los Security Groups en cada cuenta, tienden a producirse omisiones e incoherencias en la configuración, pero Firewall Manager resuelve este problema a nivel de organización.

Diseño de políticas de seguridad

Las políticas de seguridad de Firewall Manager se crean por tipo de política (WAF, Shield, Security Group, Network Firewall y DNS Firewall). En una política de WAF, se define una combinación de grupos de reglas administrados (AWS Managed Rules y reglas de Marketplace) y reglas personalizadas, y se aplica automáticamente a CloudFront, ALB y API Gateway. En una política de Security Group, se definen las reglas de entrada/salida que se permiten, y también se ofrece la opción de corregir automáticamente los Security Groups que infringen la política (eliminación de las reglas no conformes). En una política de Network Firewall, se definen reglas de filtrado del tráfico de la VPC y se despliegan automáticamente endpoints de Network Firewall en las VPC nuevas. El alcance de aplicación de una política se puede controlar por OU, etiqueta e ID de cuenta, y es posible limitar la aplicación a entornos específicos (solo producción o solo regiones específicas).

Cumplimiento y corrección automática

En el panel de cumplimiento de Firewall Manager se supervisa en tiempo real el estado de cumplimiento de las políticas de cada cuenta/recurso. Los recursos no conformes se pueden tratar mediante corrección automática (aplicación forzada de las reglas definidas en la política) o solo con notificación (alerta al administrador). Con la integración con Security Hub, los resultados de Firewall Manager se gestionan de forma integrada con los resultados de otros servicios de seguridad. Con la colaboración con las reglas de Config, también es posible incluir el estado de aplicación de las políticas de Firewall Manager en los informes de cumplimiento.

Precios de Firewall Manager

El precio de Firewall Manager es de aproximadamente 100 USD al mes por política (a fecha de agosto de 2026). Como una sola política se puede aplicar a toda la organización (cientos de cuentas), cuantas más cuentas haya, menor es el coste por cuenta. Los precios de cada servicio que se aplica mediante la política, como WAF, Shield Advanced y Network Firewall, se cobran por separado. El precio del propio Firewall Manager es fijo, pero hay que tener en cuenta que la facturación por uso de cada servicio aumenta según el número de reglas aplicadas y el volumen de tráfico.

Requisitos previos y pasos para la activación

Para usar Firewall Manager es necesario preparar varios requisitos previos. Primero, se configura una organización en Organizations y se designa la cuenta de administrador a la que se delega la administración de Firewall Manager. Como muchos tipos de política dependen de AWS Config, se activa Config en las cuentas de destino. Concentrar las operaciones de seguridad en una cuenta dedicada facilita la separación de permisos y la auditoría. Al crear las políticas después de preparar esta base, se puede lograr un estado en el que la protección ya definida se aplica automáticamente aunque se añadan cuentas nuevas a la organización. Es importante consolidar este diseño en la fase inicial de la adopción.

Gestión centralizada de la protección contra DDoS

Firewall Manager también permite aplicar en toda la organización la protección contra DDoS de Shield Advanced. Se especifican mediante condiciones los recursos que deben protegerse (CloudFront, ALB, Global Accelerator, Elastic IP, etc.) y la protección se extiende automáticamente también a los recursos recién creados. Aunque los equipos individuales olviden la configuración de protección, la política de la organización puede cubrirla, por lo que se pueden evitar omisiones de endpoints públicos que deben protegerse. Poder conocer de forma centralizada los servicios públicos importantes y mantener un nivel de protección coherente es una gran ventaja en las contramedidas contra DDoS en entornos a gran escala.

Despliegue seguro de las actualizaciones de reglas

Las políticas que se aplican de una sola vez a toda la organización tienen un alcance de impacto amplio, por lo que se despliegan con cuidado. Al introducir una regla nueva, es seguro no activar de inmediato la corrección automática, sino observar primero el impacto en un modo que solo detecta las infracciones y envía notificaciones. Se acota el alcance de aplicación por OU o etiqueta, se comprueba el comportamiento en un entorno limitado y después se amplía al conjunto. Se verifica por etapas si se bloquea por error el tráfico legítimo y si hay coherencia con los Security Groups existentes. Precisamente porque es una configuración que actúa sobre un ámbito amplio, seguir un procedimiento de probar a pequeña escala y comprobar conduce a la prevención de incidentes.

Reparto de funciones en la defensa en profundidad

Cada función que gestiona Firewall Manager actúa en una capa de defensa distinta. WAF rechaza las solicitudes maliciosas en la capa de aplicación, Security Group controla la comunicación a nivel de instancia, Network Firewall filtra el tráfico de la VPC y DNS Firewall impide la resolución de nombres hacia dominios maliciosos. Al superponer estas funciones, se puede componer una defensa en profundidad en la que una amenaza que atraviesa una capa se detiene en otra. Firewall Manager es un mecanismo para aplicarlas de forma coherente en toda la organización, y diseñar comprendiendo la función de cada capa es la clave de una postura de seguridad sólida.

Resumen

AWS Firewall Manager es un servicio que gestiona de forma centralizada las políticas de WAF / Security Group / Network Firewall de todo Organizations y mantiene la línea base de seguridad mediante la aplicación automática a cuentas/recursos nuevos. Con el panel de cumplimiento y la función de corrección automática, supervisa y mejora de forma continua la postura de seguridad de toda la organización.

Referencias (recursos oficiales de AWS)

Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.

Si esta página y la documentación oficial difieren, prevalece la documentación oficial.

Detección de permisos excesivos con IAM Access Analyzer - Análisis de acceso externo y permisos no utilizadosDetecte los permisos no utilizados de los roles IAM a partir de CloudTrail y genere automáticamente políticas de mínimo privilegio. Explicamos desde la detección de acceso externo hasta la incorporación de verificaciones de políticas personalizadas en CI/CD.Gestión automatizada de certificados SSL/TLS con AWS Certificate Manager - De la emisión a la rotaciónExplicamos la emisión gratuita de certificados públicos con ACM, la validación DNS, la renovación automática y el despliegue en ALB / CloudFront.Obtención de informes de cumplimiento con AWS Artifact - Respuesta a auditorías y gestión de contratosPresenta cómo obtener informes de auditoría SOC, PCI DSS e ISO bajo demanda, y aplicar BAA y GDPR DPA de forma masiva a toda la organización con Organizations.Automatización de auditorías - Recopilación continua de evidencias de cumplimiento con AWS Audit ManagerExplica la recopilación automática de evidencias de auditoría con AWS Audit Manager. Presenta la evaluación automática basada en frameworks (SOC 2, PCI DSS, GDPR, etc.), gestión centralizada de evidencias y generación de informes de auditoría.La estructura oculta de los 12 dígitos del ID de cuenta de AWS - Por qué son 12 dígitos y qué se puede inferirUna exploración curiosa de por qué los ID de cuenta de AWS son números de 12 dígitos, la intención de diseño incorporada en la estructura ARN, y las consideraciones de seguridad sobre lo que se puede inferir a partir de un ID de cuenta.Por qué el usuario root de una cuenta AWS es peligroso - Filosofía de diseño de separación de privilegios y práctica de selladoExplicamos por qué el usuario root de AWS tiene privilegios que IAM no puede restringir, la lista de operaciones que solo el usuario root puede realizar, cómo configurar MFA y la estrategia de sellado mediante la gestión de acceso root de Organizations.Gestión de certificados y HTTPS - Operaciones automatizadas de certificados TLS con AWS Certificate ManagerAprenda sobre la emisión de certificados TLS/SSL, renovación automática y despliegue usando AWS Certificate Manager (ACM). Cubre la integración con CloudFront, ALB y API Gateway, validación DNS y uso de Private CA.Gestión dedicada de claves con AWS CloudHSM - Cifrado compatible con FIPS 140-3 Level 3Logre gestión de claves compatible con FIPS 140-3 Level 3 con instancias HSM dedicadas. Aprenda cuándo elegir CloudHSM sobre KMS y cómo integrar ambos mediante almacenes de claves personalizados de KMS.