Was AWS Network Firewall bietet

AWS Network Firewall ist ein verwalteter, zustandsbehafteter Netzwerk-Firewall- und Intrusion-Prevention-Service für Ihre VPC. Im Gegensatz zu Sicherheitsgruppen (pro Ressource) oder NACLs (pro Subnetz) ermöglicht er eine tiefgehende, VPC-weite Überprüfung und Filterung des Datenverkehrs, die von AWS verwaltet wird und automatisch mit Ihrem Datenverkehr skaliert.

Sicherheitsgruppen und NACLs filtern ausschließlich nach IP-Adresse, Port und Protokoll. Network Firewall ergänzt eine Deep Packet Inspection und kann anhand von Domainnamen, Protokollen und Angriffssignaturen filtern. Dadurch erhalten Sie eine Filterung nach dem Prinzip der Intrusion Prevention innerhalb der VPC, die einfachere Firewalls nicht bieten können.

Network Firewall verfügt sowohl über eine zustandslose Engine für schnelle, einfache Paketregeln als auch über eine zustandsbehaftete Engine, die Verbindungen verfolgt und eine tiefere Überprüfung durchführt. Zustandslose Regeln können Datenverkehr schnell zulassen oder verwerfen, während zustandsbehaftete Regeln Suricata-kompatible Signaturen für eine fortgeschrittene Erkennung anwenden.

Sie stellen Network Firewall bereit, indem Sie Firewall-Endpunkte in dedizierten Subnetzen erstellen und den Datenverkehr über Änderungen an den Routentabellen durch diese Endpunkte leiten. Ein häufig verwendetes Design sieht ein separates Firewall-Subnetz pro Availability Zone vor, sodass VPC-Datenverkehr den Endpunkt durchläuft, bevor er das Internet oder andere Subnetze erreicht.

Network Firewall eignet sich für Muster wie eine zentrale Inspektion über ein Transit Gateway oder für eine Inspektion pro VPC. Der Datenverkehr aus Spoke-VPCs kann durch eine zentrale Inspektions-VPC mit der Firewall geleitet werden. Dadurch kann eine Richtlinie viele VPCs schützen, was die Governance bei großen Umgebungen vereinfacht.

Als verwalteter Service übernimmt Network Firewall für Sie Skalierung, Patching und Verfügbarkeit. Wenn Sie Endpunkte über mehrere Availability Zones verteilen, erhalten Sie eine resiliente, hochverfügbare Inspektion, ohne Firewall-Appliances selbst betreiben und warten zu müssen.

Eine Firewall-Richtlinie definiert die zustandslosen und zustandsbehafteten Regelgruppen, Standardaktionen und das Verhalten, die eine Firewall durchsetzt. Eine Richtlinie kann mehreren Firewalls zugeordnet werden und zentralisiert Ihre Prüfregeln – ähnlich wie eine WAF-Web-ACL Webregeln zentralisiert.

Ein wichtiger Anwendungsfall ist die Filterung ausgehenden Datenverkehrs: Sie steuern, welche externen Domains und Ziele Ihre Workloads erreichen dürfen. Dadurch verhindern Sie, dass Malware Kontakt zu ihren Betreibern aufnimmt, blockieren die Datenexfiltration zu nicht genehmigten Websites und setzen Positivlisten erlaubter Ziele durch – etwas, das Security Groups nicht domainbasiert leisten können.

Network Firewall erzeugt Alert- und Flow-Logs, die Sie an CloudWatch Logs, S3 oder Kinesis Firehose senden. Alert-Logs erfassen Datenverkehr, der zustandsbehaftete Regeln ausgelöst hat; Flow-Logs zeichnen Verbindungsmetadaten auf. Diese Logs versorgen Ihre Werkzeuge zur Erkennung und Untersuchung mit Daten und stellen einen Prüfpfad des untersuchten Datenverkehrs bereit.

Network Firewall ist die AWS-native Alternative zum Betrieb von Firewall-Appliances von Drittanbietern auf EC2. Dadurch entfällt der Aufwand für die Dimensionierung, das Patchen und die Skalierung von Instances. Gleichzeitig wird die Lösung in das VPC-Routing und den Firewall Manager für eine zentrale, organisationsweite Bereitstellung integriert.

Verwenden Sie Network Firewall, wenn Sie VPC-weiten Schutz vor Eindringversuchen, domainbasierte Kontrolle ausgehenden Datenverkehrs oder eine zentrale Prüfung benötigen, die über die Möglichkeiten von Security Groups und NACLs hinausgeht. Network Firewall ergänzt WAF (Webanfragen) und Shield (DDoS) und füllt die Ebene der tiefgehenden Netzwerkprüfung in Ihrem Verteidigungs-Stack aus.

Ermitteln Sie das passende Werkzeug.

AWS Network Firewall ist eine verwaltete, VPC-weite zustandsbehaftete Firewall und ein IPS mit Deep Packet Inspection, die über Layer 3/4 hinausgeht. Sie verwendet zustandslose und zustandsbehaftete Engines, wird über Firewall-Endpunkte in dedizierten Subnetzen mit entsprechenden Routenänderungen bereitgestellt und unterstützt die zentrale Prüfung über Transit Gateways. Zu den wichtigsten Einsatzbereichen gehören die domainbasierte Filterung ausgehenden Datenverkehrs und die Verhinderung von Eindringversuchen sowie die Protokollierung von Alerts und Flows.