Control de tráfico VPC con AWS Network Firewall - Reglas stateful y filtrado de dominios
Explicación del control de tráfico VPC con AWS Network Firewall. Se presenta la diferenciación con Security Groups, el diseño de reglas, el filtrado de dominios y las reglas gestionadas.
Posicionamiento de Network Firewall y diferencias con Security Groups
AWS Network Firewall es un servicio de firewall gestionado que inspecciona el trafico en linea dentro de una VPC. Los Security Groups se limitan al filtrado L3/L4 a nivel de ENI, mientras que Network Firewall proporciona inspeccion de protocolos de aplicacion L7, filtrado basado en dominios y deteccion/prevencion de intrusiones (IDS/IPS). Se despliega en una subred dedicada de firewall y se integra con la tabla de rutas para inspeccionar todo el trafico que pasa por esa subred. A diferencia de los firewalls de nueva generacion on-premises como Palo Alto Networks o Fortinet, Network Firewall elimina la necesidad de adquisicion de hardware y gestion de firmware como servicio completamente gestionado.
Diseno de reglas y filtrado de dominios
Las reglas stateless coinciden con 5-tuplas (IP origen/destino, puerto origen/destino, protocolo) y son adecuadas para el procesamiento de alto rendimiento de grandes volumenes de trafico. Las reglas stateful rastrean el estado de la conexion y soportan tres formatos: reglas IPS compatibles con Suricata, reglas de listas de dominios y reglas de 5-tuplas. El filtrado de dominios inspecciona la cabecera HTTP Host o el TLS SNI (Server Name Indication) para filtrar segun listas de permisos o denegacion. La inspeccion TLS SNI permite filtrar dominios incluso en trafico HTTPS cifrado. Controlar el tráfico de salida con listas de permisos, permitiendo solo comunicación con dominios necesarios para la operación, limita la exfiltración de datos.
Arquitectura de defensa en profundidad con WAF
Combinar Network Firewall con AWS WAF permite construir una defensa multicapa desde la capa de red hasta la capa de aplicación. Network Firewall opera a nivel de subred VPC e inspecciona el tráfico que pasa por el endpoint del firewall. WAF opera delante de CloudFront, ALB y API Gateway, proporcionando proteccion de la capa de aplicacion mediante reglas de inyeccion SQL, XSS y basadas en tasa. Una arquitectura de firewall centralizada con Transit Gateway agrega el trafico de multiples VPC a un unico endpoint de Network Firewall, aplicando politicas de seguridad unificadas.
Reglas gestionadas y gobernanza organizacional
Los AWS Managed Rule Groups son conjuntos de reglas con firmas de amenazas conocidas que AWS actualiza automaticamente. Cubren patrones de comunicacion C2 de malware, dominios maliciosos conocidos y patrones de comunicacion de botnets. Firewall Manager permite aplicar políticas de firewall unificadas en las cuentas de Organizations. Gestione centralizadamente las políticas de Network Firewall y WAF para alinear las políticas de seguridad de la organización.
Analisis de logs e integracion de inteligencia de amenazas
Network Firewall puede enviar logs de alertas y logs de flujo a S3, CloudWatch Logs y Amazon Data Firehose. Los logs de alertas registran informacion detallada del trafico que coincide con reglas IPS, utiles para investigacion de incidentes de seguridad. Los logs de flujo registran metadatos del tráfico para visualización de red y detección de anomalías. Estos logs se pueden agregar en OpenSearch Service y visualizar en dashboards para el monitoreo de seguridad. Tambien se puede integrar con resultados de deteccion de amenazas de GuardDuty para agregar automaticamente direcciones IP detectadas a listas de bloqueo. Con Lambda y EventBridge se puede automatizar la respuesta desde la detección hasta el bloqueo.
Precios de Network Firewall
Los precios de Network Firewall se componen de la tarifa por hora del endpoint del firewall y la tarifa de procesamiento de datos. Los cargos del endpoint dependen del número de endpoints desplegados y de las horas de uso. Use Security Groups y NACL para el filtrado que no requiere Network Firewall y enrute solo el tráfico que necesita inspección L7, para contener el volumen de procesamiento de datos.
Resumen
Network Firewall es un firewall gestionado que proporciona inspeccion de trafico L7 mas alla de lo que los Security Groups pueden manejar. Protege frente a amenazas mediante reglas compatibles con Suricata y filtrado de dominios, y se puede combinar con WAF para una defensa multicapa. La integración con los resultados de GuardDuty permite automatizar el bloqueo, y Firewall Manager aplica políticas unificadas en toda la organización.
Referencias (recursos oficiales de AWS)
Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.
- AWS Network Firewall (página oficial)
- Amazon VPC (página oficial)
- AWS Firewall Manager (página oficial)
- Documentación de AWS (oficial)
Si esta página y la documentación oficial difieren, prevalece la documentación oficial.