Zustandsbehaftete Regelgruppen und Suricata-Regeln

Network Firewall organisiert Regeln in Regelgruppen, die entweder zustandslos oder zustandsbehaftet sind. Zustandslose Gruppen wenden schnelle, verbindungslose Paketregeln an; zustandsbehaftete Gruppen verfolgen den Verbindungsstatus und führen eine tiefere, signaturbasierte Prüfung durch. Eine Firewall-Richtlinie verweist auf beide Arten.

Zustandslose Regelgruppen werten jedes Paket unabhängig anhand grundlegender Attribute wie Quelle, Ziel, Port und Protokoll aus und leiten es anschließend weiter, verwerfen es oder übergeben es zur zustandsbehafteten Prüfung. Sie sind schnell und kostengünstig und eignen sich ideal für eine grobe Filterung, bevor die tiefere zustandsbehaftete Engine die verbleibenden Pakete untersucht.

Zustandsbehaftete Regelgruppen verstehen Verbindungen und können Protokollverhalten, Domains und Bedrohungssignaturen abgleichen. Hier findet die erweiterte Erkennung statt. Unterstützt werden drei Formate: 5-Tupel-Regeln, Domainlistenregeln und Suricata-kompatible Regeln. Dies ist das Herzstück der Intrusion Prevention von Network Firewall.

Zustandsbehaftete 5-Tupel-Regeln gleichen Protokoll, Quell- und Ziel-IP sowie Quell- und Zielport ab und enthalten außerdem eine Richtung und eine Aktion (pass, drop, alert). Sie ähneln herkömmlichen Firewall-Regeln, werden jedoch in der zustandsbehafteten Engine ausgeführt und verstehen daher bestehende Verbindungen.

Domainlistenregeln erlauben oder verweigern Datenverkehr anhand des Domainnamens des Ziels, indem sie die SNI in TLS oder den Host-Header in HTTP prüfen. Dies ist die einfachste Möglichkeit, Domain-Positiv- oder -Negativlisten für die Kontrolle ausgehenden Datenverkehrs zu erstellen, ohne komplexe Signaturen zu schreiben.

Network Firewall akzeptiert die Open-Source-Regelsyntax zur Angriffserkennung von Suricata, einen weit verbreiteten IDS/IPS-Standard. Dadurch können Sie Community- und kommerzielle Bedrohungssignaturen wiederverwenden, um Malware, Exploits und Protokollanomalien zu erkennen, und erhalten ausgereifte IPS-Funktionen in Ihrer AWS-VPC.

Zu den Aktionen zustandsbehafteter Regeln gehören pass (erlauben und die weitere zustandsbehaftete Auswertung beenden), drop (still verwerfen), alert (protokollieren, ohne zu blockieren, ähnlich wie WAF count) und reject (verwerfen und einen TCP-Reset senden). Der Alert-Modus ist äußerst nützlich, um Signaturen zu testen, bevor Sie sie durchsetzen.

Sie können die zustandsbehaftete Engine so konfigurieren, dass sie Regeln nach der Reihenfolge der Standardaktion oder in einer strikten Reihenfolge auswertet. Mit der strikten Reihenfolge lässt sich die Priorität genau steuern und ein standardmäßiges Verwerfen festlegen. Das ist entscheidend für eine Egress-Richtlinie nach dem Prinzip „standardmäßig verweigern“, bei der nur ausdrücklich erlaubter Datenverkehr durchgelassen wird.

AWS bietet für Network Firewall verwaltete Regelgruppen mit kuratierten und regelmäßig aktualisierten Bedrohungssignaturen an, beispielsweise gegen bekannte Malware-Command-and-Control-Infrastrukturen und Botnetze. Ähnlich wie verwaltete WAF-Regeln ermöglichen sie Ihnen einen von Experten gepflegten Schutz, ohne jede Suricata-Regel selbst verfassen zu müssen.

Zustandsbehaftete Regeln mit der Aktion alert schreiben in das Alert-Log der Firewall. Darin sehen Sie genau, welche Signatur übereinstimmte und welcher Datenverkehr betroffen war. Durch die Prüfung der Alert-Logs können Sie neue Regeln validieren, verdächtigen Datenverkehr untersuchen und Fehlalarme reduzieren, bevor Sie Alerts in Drops umwandeln.

Eine praxistaugliche Richtlinie verwendet zustandslose Regeln für grobes Erlauben oder Verwerfen, eine zustandsbehaftete Domainlistengruppe für eine Egress-Positivliste sowie Suricata- oder verwaltete Signaturgruppen zur Verhinderung von Eindringversuchen – mit strikter Reihenfolge und standardmäßigem Verwerfen. Dieses mehrschichtige Regeldesign bietet sowohl Leistung als auch umfassenden Schutz.

Ordnen Sie das Regel-Format dem jeweiligen Bedarf zu.

Network Firewall verwendet zustandslose (schnelle, paketweise) und zustandsbehaftete (verbindungsbewusste) Regelgruppen. Die zustandsbehafteten Formate sind 5-Tupel, Domainliste und Suricata-kompatibel, mit den Aktionen pass, drop, alert und reject. Verwenden Sie eine strikte Reihenfolge der Regeln mit standardmäßigem Verwerfen für Egress nach dem Prinzip „standardmäßig verweigern“. AWS-Signaturgruppen mit verwalteten Regeln ergänzen die kuratierte Bedrohungserkennung, und Alert-Logs ermöglichen das Testen von Regeln, bevor Sie sie durchsetzen.