AWS Network Firewall Especializado2020年〜
Servicio de firewall gestionado para el control granular del tráfico de red en VPC
Qué hace
AWS Network Firewall es un servicio de firewall completamente gestionado que inspecciona y filtra el tráfico de red dentro de las VPC. Proporciona filtrado de paquetes con estado y sin estado, detección y prevención de intrusiones (IDS/IPS) y filtrado web. Cuenta con un motor de reglas compatible con Suricata, lo que permite migrar reglas de firewall existentes de entornos on-premises. Escala automáticamente con el volumen de tráfico, eliminando la planificación de capacidad.
Casos de uso
Se utiliza para el control de tráfico entre VPC, filtrado de tráfico saliente a internet, bloqueo de acceso a dominios maliciosos conocidos, auditoría de red para requisitos de cumplimiento, detección y bloqueo de comunicaciones de malware, y gestión centralizada de seguridad de red en entornos multi-cuenta.
Analogía cotidiana
Es como un guardia de seguridad de un edificio. Si los grupos de seguridad son cerraduras de puertas para cada habitación (control a nivel de puerto), Network Firewall es el guardia en la entrada del edificio. Verifica las identificaciones de los visitantes (contenido de los paquetes), detecta individuos sospechosos (tráfico malicioso) y los bloquea. El número de guardias se ajusta automáticamente según el tráfico del edificio.
¿Qué es Network Firewall?
AWS Network Firewall es un servicio que inspecciona y controla el tráfico de red a nivel de VPC. Mientras que los grupos de seguridad y las NACL (ACL de red) proporcionan filtrado básico basado en direcciones IP y números de puerto, Network Firewall puede realizar inspección profunda de paquetes (DPI) que examina el contenido de los paquetes (payload). Esto permite detectar amenazas en la capa de aplicación y anomalías de protocolo. La integración con AWS Firewall Manager permite gestionar centralmente las políticas de firewall en múltiples cuentas y VPC.
Motor de reglas y funciones de inspección
El motor de reglas de Network Firewall opera en una estructura de dos niveles con reglas sin estado y con estado. Las reglas sin estado realizan filtrado rápido basado en 5-tuplas (IP origen, IP destino, puerto origen, puerto destino, protocolo). Las reglas con estado admiten formatos de reglas IPS compatibles con Suricata, permitiendo filtrado de dominios basado en TLS SNI (Server Name Indication), inspección de encabezados HTTP y detección de anomalías de protocolo. Los grupos de reglas gestionados proporcionados por AWS permiten aplicar fácilmente reglas basadas en la inteligencia de amenazas más reciente. Para organizar los conceptos y técnicas del motor de reglas y las funciones de inspección, los libros relacionados en Amazon son útiles.
Arquitectura de despliegue
Network Firewall se despliega como un endpoint en una subred de firewall dedicada. Se configuran las tablas de rutas de la VPC para enrutar el tráfico a inspeccionar a través del endpoint del firewall. Combinado con Transit Gateway, puede inspeccionar centralmente el tráfico de múltiples VPC en una arquitectura hub-and-spoke. Los registros del firewall se pueden enviar a S3, CloudWatch Logs y Kinesis Data Firehose para auditoría de seguridad e investigación de incidentes.
Aspectos a tener en cuenta
- If security groups and NACLs are sufficient, there's no need to add Network Firewall. Consider it when deep packet inspection or IDS/IPS is required
- Firewall endpoints are created per AZ, so be aware that costs scale with the number of endpoints in multi-AZ configurations
