AWS Network Firewall
Servicio de firewall de red gestionado que inspecciona el tráfico de la VPC de forma stateful, proporcionando prevención de intrusiones y filtrado por dominio
Descripción general
AWS Network Firewall es un servicio de firewall gestionado que controla de forma granular el tráfico de red dentro de una VPC. Proporciona inspección avanzada de tráfico que no es posible con grupos de seguridad o NACLs (inspección stateful, detección y prevención de intrusiones, filtrado basado en dominios, inspección TLS). Adopta un motor de reglas compatible con Suricata, lo que permite migrar conjuntos de reglas IDS/IPS existentes. Puede combinarse con Transit Gateway o Gateway Load Balancer para operar como firewall centralizado en entornos multi-VPC.
Estructura de dos niveles con reglas stateless y stateful
Las reglas de Network Firewall se componen de dos tipos: grupos de reglas stateless y grupos de reglas stateful. Las reglas stateless realizan un filtrado simple basado en dirección IP, puerto y protocolo, con un comportamiento similar a las NACLs. Las reglas stateful rastrean el estado de las conexiones y pueden escribirse en tres formatos: reglas de 5-tupla compatibles con Suricata, reglas de lista de dominios y reglas IPS de Suricata. Al adoptar un motor basado en Suricata, se pueden utilizar directamente conjuntos de reglas IDS/IPS de código abierto publicados por Emerging Threats o la comunidad Snort. Azure Firewall adopta un motor de reglas propietario y no admite la importación directa de estas reglas de código abierto. En la práctica, se recomienda una estructura de dos niveles donde las reglas stateless descartan primero el tráfico claramente innecesario (rangos de IP maliciosas conocidas) y el tráfico restante se inspecciona en detalle con las reglas stateful.
Filtrado por dominio e inspección TLS
Las reglas de lista de dominios de Network Firewall son potentes para permitir solo comunicaciones HTTP/HTTPS hacia dominios específicos. Son efectivas para restringir comunicaciones hacia APIs externas o bloquear comunicaciones C2 (Command and Control) de malware. Para tráfico HTTP se inspecciona el encabezado Host, y para HTTPS se examina el campo SNI (Server Name Indication) de TLS para determinar el dominio. Al habilitar la inspección TLS, se puede examinar el contenido del tráfico cifrado, pero como se utiliza un certificado CA gestionado por ACM (AWS Certificate Manager) para descifrar y re-cifrar la comunicación, es necesario configurar la confianza del certificado CA en el lado del cliente. Libros de seguridad de red en Amazon para aprender de forma sistemática.
VPC de inspección centralizada y despliegue organizacional con Firewall Manager
El patrón de despliegue más común de Network Firewall es la VPC de inspección centralizada. Mediante el enrutamiento de Transit Gateway, se concentra todo el tráfico hacia Internet de todas las VPCs a través de la VPC de inspección, donde Network Firewall lo examina de forma centralizada. Esta configuración elimina la necesidad de colocar firewalls individuales en cada VPC y centraliza la gestión de reglas. Combinado con Firewall Manager, se pueden aplicar políticas de firewall unificadas a todas las cuentas dentro de Organizations, y cuando se crean nuevas VPCs, el firewall se despliega automáticamente. Como consideración de costos, los endpoints de firewall deben crearse por cada AZ, por lo que en una configuración de 3 AZs se generan cargos fijos por 3 endpoints. Además, hay cargos por volumen de tráfico procesado, lo que puede representar un costo significativo en entornos con alto volumen de tráfico. Si los requisitos pueden cubrirse con grupos de seguridad y NACLs, hay casos donde no es necesario implementar Network Firewall.