Control de tráfico VPC con AWS Network Firewall - Reglas stateful y filtrado de dominios
Explicación del control de tráfico VPC con AWS Network Firewall. Se presenta la diferenciación con Security Groups, el diseño de reglas, el filtrado de dominios y las reglas gestionadas.
Posicionamiento de Network Firewall y diferencias con Security Groups
AWS Network Firewall es un servicio de firewall gestionado que inspecciona el trafico en linea dentro de una VPC. Los Security Groups se limitan al filtrado L3/L4 a nivel de ENI, mientras que Network Firewall proporciona inspeccion de protocolos de aplicacion L7, filtrado basado en dominios y deteccion/prevencion de intrusiones (IDS/IPS). Se despliega en una subred dedicada de firewall y se integra con la tabla de rutas para inspeccionar todo el trafico que pasa por esa subred. A diferencia de los firewalls de nueva generacion on-premises como Palo Alto Networks o Fortinet, Network Firewall elimina la necesidad de adquisicion de hardware y gestion de firmware como servicio completamente gestionado.
Diseno de reglas y filtrado de dominios
Las reglas stateless coinciden con 5-tuplas (IP origen/destino, puerto origen/destino, protocolo) y son adecuadas para el procesamiento de alto rendimiento de grandes volumenes de trafico. Las reglas stateful rastrean el estado de la conexion y soportan tres formatos: reglas IPS compatibles con Suricata, reglas de listas de dominios y reglas de 5-tuplas. El filtrado de dominios inspecciona la cabecera HTTP Host o el TLS SNI (Server Name Indication) para filtrar segun listas de permisos o denegacion. La inspeccion TLS SNI permite filtrar dominios incluso en trafico HTTPS cifrado. Controlar el trafico de salida con listas de permisos, permitiendo solo comunicacion con dominios necesarios para la operacion, es efectivo para prevenir la exfiltracion de datos.
Arquitectura de defensa en profundidad con WAF
Combinar Network Firewall con AWS WAF permite construir una defensa multicapa integral desde la capa de red hasta la capa de aplicacion. Network Firewall opera a nivel de subred VPC inspeccionando todo el trafico entrante y saliente. WAF opera delante de CloudFront, ALB y API Gateway, proporcionando proteccion de la capa de aplicacion mediante reglas de inyeccion SQL, XSS y basadas en tasa. Una arquitectura de firewall centralizada con Transit Gateway agrega el trafico de multiples VPC a un unico endpoint de Network Firewall, aplicando politicas de seguridad unificadas.
Reglas gestionadas y gobernanza organizacional
Los AWS Managed Rule Groups son conjuntos de reglas con firmas de amenazas conocidas que AWS actualiza automaticamente. Cubren patrones de comunicacion C2 de malware, dominios maliciosos conocidos y patrones de comunicacion de botnets. Firewall Manager permite aplicar politicas de firewall unificadas en todas las cuentas de Organizations, aplicandose automaticamente cuando se crean nuevas cuentas o VPC. Gestionar centralizadamente las politicas de Network Firewall y WAF garantiza la gobernanza de seguridad organizacional. Para aprender sobre seguridad de red en la nube, libros especializados (Amazon) son utiles.
Analisis de logs e integracion de inteligencia de amenazas
Network Firewall puede enviar logs de alertas y logs de flujo a S3, CloudWatch Logs y Kinesis Data Firehose. Los logs de alertas registran informacion detallada del trafico que coincide con reglas IPS, utiles para investigacion de incidentes de seguridad. Los logs de flujo registran metadatos de todo el trafico para visualizacion de red y deteccion de anomalias. Agregar estos logs en OpenSearch Service y visualizarlos en dashboards permite monitoreo de seguridad en tiempo real. Tambien se puede integrar con resultados de deteccion de amenazas de GuardDuty para agregar automaticamente direcciones IP detectadas a listas de bloqueo. La respuesta automatizada con Lambda y EventBridge minimiza el tiempo desde la deteccion hasta el bloqueo.
Precios de Network Firewall
Los precios de Network Firewall se componen de la tarifa por hora del endpoint del firewall y la tarifa de procesamiento de datos. El endpoint cuesta aproximadamente 0.395 dolares por hora por AZ (aproximadamente 284 dolares mensuales). El procesamiento de datos es de aproximadamente 0.065 dolares por GB. Para una configuracion de 2 AZ procesando 1 TB de trafico mensual, el costo es aproximadamente 633 dolares (endpoints 568 dolares + procesamiento 65 dolares). Se optimizan costos usando Security Groups y NACL para filtrado que no requiere Network Firewall, enrutando solo trafico que necesita inspeccion L7.
Resumen
Network Firewall es un firewall gestionado que proporciona inspeccion de trafico L7 mas alla de lo que los Security Groups pueden manejar. Ofrece proteccion avanzada mediante reglas compatibles con Suricata y filtrado de dominios, construyendo seguridad integral con defensa multicapa junto a WAF. La integracion de inteligencia de amenazas con GuardDuty permite bloqueo automatizado, y Firewall Manager aplica politicas unificadas en toda la organizacion.