مجموعات القواعد ذات الحالة وقواعد Suricata

ينظم Network Firewall القواعد في مجموعات قواعد تكون إما عديمة الحالة أو معتمدة على الحالة. تطبق المجموعات عديمة الحالة قواعد سريعة وغير مرتبطة بالاتصالات على الحزم، بينما تتتبع المجموعات المعتمدة على الحالة حالة الاتصال وتنفذ فحصًا أعمق قائمًا على التواقيع. وتشير سياسة جدار الحماية إلى كلا النوعين.

تقيّم مجموعات القواعد عديمة الحالة كل حزمة بشكل مستقل استنادًا إلى سمات أساسية مثل المصدر والوجهة والمنفذ والبروتوكول، ثم تسمح بالمرور أو تسقط الحزمة أو تمررها إلى الفحص المعتمد على الحالة. وهي سريعة ومنخفضة التكلفة، ومثالية للتصفية الأولية العامة قبل أن يفحص المحرك الأعمق المعتمد على الحالة ما تبقى.

تفهم مجموعات القواعد المعتمدة على الحالة الاتصالات، ويمكنها المطابقة استنادًا إلى سلوك البروتوكول والنطاقات وتوقيعات التهديدات. ويجري فيها الكشف المتقدم، وهي تدعم ثلاثة تنسيقات: قواعد 5-tuple، وقواعد قوائم النطاقات، وقواعد المتوافقة مع Suricata. ويمثل ذلك جوهر وظيفة منع التسلل في Network Firewall.

تطابق قواعد 5-tuple المعتمدة على الحالة البروتوكول وعنوان IP للمصدر والوجهة ومنفذ المصدر والوجهة، مع اتجاه وإجراء مثل (pass أو drop أو alert). وهي تشبه قواعد جدران الحماية التقليدية، لكنها تعمل في المحرك المعتمد على الحالة، ولذلك تفهم الاتصالات القائمة.

تسمح قواعد قوائم النطاقات بحركة المرور أو تمنعها استنادًا إلى اسم النطاق الوجهة، وذلك بفحص SNI في TLS أو ترويسة Host في HTTP. وهذه أبسط طريقة لإنشاء قوائم سماح أو حظر للنطاقات بغرض التحكم في الحركة الصادرة، من دون كتابة توقيعات معقدة.

يقبل Network Firewall صيغة قواعد كشف التسلل مفتوحة المصدر الخاصة بـ Suricata، وهي معيار واسع الاستخدام في أنظمة IDS/IPS. ويتيح لك ذلك إعادة استخدام توقيعات التهديدات المجتمعية والتجارية للكشف عن البرمجيات الخبيثة والاستغلالات والشذوذ في البروتوكولات، وإدخال إمكانات IPS الناضجة إلى VPC في AWS.

تشمل إجراءات القواعد المعتمدة على الحالة pass (السماح وإيقاف التقييم الإضافي للقواعد المعتمدة على الحالة)، وdrop (التخلص من الحزمة بصمت)، وalert (التسجيل دون الحظر، مثل وضع العد في WAF)، وreject (إسقاط الحزمة وإرسال إعادة ضبط TCP). ويُعد وضع التنبيه مهمًا جدًا لاختبار التوقيعات قبل فرضها.

يمكنك ضبط المحرك المعتمد على الحالة لتقييم القواعد وفق ترتيب الإجراء الافتراضي أو الترتيب الصارم. ويتيح لك الترتيب الصارم التحكم بدقة في أولوية القواعد وتعيين إسقاط افتراضي، وهو أمر أساسي لسياسة الحركة الصادرة التي تمنع المرور افتراضيًا ولا تسمح إلا بالحركة المصرح بها صراحةً.

توفر AWS مجموعات قواعد مُدارة لـ Network Firewall، وتحتوي على توقيعات تهديدات منتقاة ومحدّثة بانتظام، مثل التوقيعات التي تستهدف برمجيات خبيثة معروفة وشبكات الروبوتات وخوادم القيادة والتحكم. وكما هو الحال مع قواعد WAF المُدارة، تتيح لك هذه المجموعات اعتماد حماية يديرها خبراء دون كتابة كل قاعدة Suricata بنفسك.

تكتب القواعد المعتمدة على الحالة التي تستخدم إجراء alert في سجل التنبيهات الخاص بجدار الحماية، موضحةً التوقيع الذي حدثت مطابقته وحركة المرور المعنية بدقة. وتساعدك مراجعة سجلات التنبيهات على التحقق من القواعد الجديدة، والتحقيق في حركة المرور المريبة، وضبط القواعد للتخلص من النتائج الإيجابية الكاذبة قبل تحويل التنبيهات إلى عمليات إسقاط.

تستخدم السياسة العملية قواعد عديمة الحالة للسماح أو الإسقاط العام، ومجموعة قواعد معتمدة على الحالة من قائمة النطاقات لإنشاء قائمة سماح للحركة الصادرة، ومجموعات توقيعات Suricata أو التوقيعات المُدارة لمنع التسلل، مع ترتيب صارم وإسقاط افتراضي. ويوفر هذا التصميم متعدد الطبقات الأداء والعمق معًا.

يستخدم Network Firewall مجموعات قواعد عديمة الحالة (سريعة وتُطبّق لكل حزمة) ومجموعات معتمدة على الحالة (تدرك حالة الاتصال). وتشمل تنسيقات القواعد المعتمدة على الحالة 5-tuple وقوائم النطاقات والقواعد المتوافقة مع Suricata، مع إجراءات pass وdrop وalert وreject. استخدم ترتيبًا صارمًا للقواعد مع إسقاط افتراضي لتطبيق سياسة حركة صادرة تمنع المرور افتراضيًا. وتضيف مجموعات التوقيعات المُدارة من AWS كشفًا منتقى للتهديدات، بينما تتيح لك سجلات التنبيهات اختبار القواعد قبل فرضها.