Grupos de reglas con estado y reglas de Suricata

Network Firewall organiza las reglas en grupos de reglas, que pueden ser sin estado o con estado. Los grupos sin estado aplican reglas rápidas y sin conexión para los paquetes; los grupos con estado realizan un seguimiento del estado de las conexiones y ejecutan una inspección más profunda basada en firmas. Una política de firewall hace referencia a ambos tipos.

Los grupos de reglas sin estado evalúan cada paquete de forma independiente según atributos básicos como el origen, el destino, el puerto y el protocolo, y después lo aceptan, descartan o envían a la inspección con estado. Son rápidos y económicos, e ideales para aplicar un filtrado general antes de que el motor con estado examine en profundidad lo que queda.

Los grupos de reglas con estado comprenden las conexiones y pueden coincidir con el comportamiento de los protocolos, los dominios y las firmas de amenazas. Aquí se realiza la detección avanzada, con compatibilidad con tres formatos: reglas de 5 tuplas, reglas de lista de dominios y reglas compatibles con Suricata. Este es el núcleo de la prevención de intrusiones de Network Firewall.

Las reglas con estado de 5 tuplas coinciden con el protocolo, las direcciones IP de origen y destino, y los puertos de origen y destino, junto con una dirección y una acción (pass, drop, alert). Se parecen a las reglas de firewall tradicionales, pero se ejecutan en el motor con estado, por lo que comprenden las conexiones establecidas.

Las reglas de lista de dominios permiten o deniegan el tráfico según el nombre de dominio de destino, inspeccionando el SNI en TLS o el encabezado Host en HTTP. Esta es la forma más sencilla de crear listas de permitidos o de bloqueados de dominios para controlar el tráfico de salida sin escribir firmas complejas.

Network Firewall acepta la sintaxis de reglas de detección de intrusiones de código abierto de Suricata, un estándar de IDS/IPS ampliamente utilizado. Esto permite reutilizar firmas de amenazas de la comunidad y comerciales para detectar malware, exploits y anomalías de protocolo, incorporando capacidades maduras de IPS a su VPC de AWS.

Las acciones de las reglas con estado incluyen pass (permitir y detener las evaluaciones posteriores con estado), drop (descartar silenciosamente), alert (registrar sin bloquear, como el modo count de WAF) y reject (descartar y enviar un restablecimiento de TCP). El modo de alerta es muy útil para probar las firmas antes de aplicarlas.

Puede configurar el motor con estado para evaluar las reglas según el orden de acción predeterminado o el orden estricto. El orden estricto permite controlar la precedencia con precisión y establecer un descarte predeterminado, algo esencial para una política de salida con denegación predeterminada en la que solo pasa el tráfico permitido explícitamente.

AWS ofrece grupos de reglas administradas para Network Firewall que contienen firmas de amenazas seleccionadas y actualizadas periódicamente (por ejemplo, contra malware conocido de comando y control y botnets). Al igual que las reglas administradas de WAF, permiten adoptar protección mantenida por expertos sin tener que crear cada regla de Suricata por su cuenta.

Las reglas con estado que utilizan la acción alert escriben en el registro de alertas del firewall, donde muestran exactamente qué firma coincidió y qué tráfico estuvo involucrado. Revisar los registros de alertas permite validar reglas nuevas, investigar tráfico sospechoso y ajustar los falsos positivos antes de cambiar las alertas a descartes.

Una política práctica utiliza reglas sin estado para aceptar o descartar de forma general, un grupo con estado de lista de dominios para crear una lista de permitidos de salida y grupos de firmas de Suricata o administradas para la prevención de intrusiones, con orden estricto y descarte predeterminado. Este diseño de reglas por capas ofrece rendimiento y profundidad.

Relacione el formato de regla con la necesidad.

Network Firewall utiliza grupos de reglas sin estado (rápidas y aplicadas por paquete) y con estado (conscientes de las conexiones). Los formatos con estado son 5 tuplas, lista de dominios y compatibles con Suricata, con las acciones pass, drop, alert y reject. Utilice un orden estricto de reglas con descarte predeterminado para aplicar una salida con denegación predeterminada. Los grupos de firmas administradas de AWS añaden detección de amenazas seleccionada, y los registros de alertas permiten probar las reglas antes de aplicarlas.