Groupes de règles avec état et règles Suricata

Network Firewall organise les règles en groupes de règles, qui sont soit sans état, soit avec état. Les groupes sans état appliquent rapidement des règles de paquets sans connexion ; les groupes avec état suivent l’état des connexions et effectuent une inspection plus approfondie fondée sur des signatures. Une politique de pare-feu fait référence aux deux types.

Les groupes de règles sans état évaluent chaque paquet indépendamment selon des attributs de base tels que la source, la destination, le port et le protocole, puis l’acceptent, le rejettent ou le transmettent à l’inspection avec état. Ils sont rapides et peu coûteux, et conviennent parfaitement à un filtrage général avant l’examen du trafic restant par le moteur avec état, plus approfondi.

Les groupes de règles avec état comprennent les connexions et peuvent effectuer des correspondances selon le comportement du protocole, les domaines et les signatures de menaces. C’est là que s’effectue la détection avancée, avec trois formats : règles à 5-tuples, règles de liste de domaines et règles compatibles avec Suricata. C’est le cœur de la prévention des intrusions de Network Firewall.

Les règles avec état à 5-tuples effectuent des correspondances selon le protocole, les adresses IP source et destination, ainsi que les ports source et destination, avec une direction et une action (accepter, rejeter, alerter). Elles ressemblent aux règles de pare-feu traditionnelles, mais s’exécutent dans le moteur avec état et comprennent donc les connexions établies.

Les règles de liste de domaines autorisent ou refusent le trafic selon le nom de domaine de destination, en inspectant le SNI dans TLS ou l’en-tête Host dans HTTP. C’est la manière la plus simple de créer des listes d’autorisation ou de refus de domaines pour contrôler le trafic sortant, sans écrire de signatures complexes.

Network Firewall accepte la syntaxe de règles de détection des intrusions de la solution open source Suricata, une norme IDS/IPS largement utilisée. Vous pouvez ainsi réutiliser des signatures de menaces communautaires et commerciales pour détecter les logiciels malveillants, les exploits et les anomalies de protocole, et intégrer les fonctionnalités éprouvées d’un IPS à votre VPC AWS.

Les actions des règles avec état comprennent accepter (autoriser et arrêter toute évaluation ultérieure avec état), rejeter (écarter silencieusement), alerter (journaliser sans bloquer, comme le comptage dans WAF) et refuser (écarter et envoyer une réinitialisation TCP). Le mode alerte est extrêmement utile pour tester les signatures avant de les appliquer.

Vous pouvez configurer le moteur avec état pour évaluer les règles selon l’ordre d’action par défaut ou l’ordre strict. L’ordre strict vous permet de contrôler précisément les priorités et de définir un rejet par défaut, ce qui est essentiel pour une politique de trafic sortant avec refus par défaut, où seul le trafic explicitement autorisé passe.

AWS propose des groupes de règles gérés pour Network Firewall, contenant des signatures de menaces sélectionnées et régulièrement mises à jour, par exemple contre les logiciels malveillants connus, leurs serveurs de commande et contrôle et les réseaux de zombies. Comme les règles gérées de WAF, ils vous permettent d’adopter une protection gérée par des experts sans rédiger vous-même chaque règle Suricata.

Les règles avec état qui utilisent l’action alerte écrivent dans le journal des alertes du pare-feu, en indiquant précisément la signature correspondante et le trafic concerné. L’examen des journaux d’alerte permet de valider les nouvelles règles, d’enquêter sur le trafic suspect et d’éliminer les faux positifs avant de remplacer les alertes par des rejets.

Une politique pratique utilise des règles sans état pour les acceptations et rejets généraux, un groupe avec état de liste de domaines pour créer une liste d’autorisation du trafic sortant, ainsi que des groupes de signatures Suricata ou gérées pour la prévention des intrusions, avec un ordre strict et un rejet par défaut. Cette conception de règles en couches offre à la fois performance et profondeur.

Network Firewall utilise des groupes de règles sans état (rapides, paquet par paquet) et avec état (conscients des connexions). Les formats avec état sont les formats à 5-tuples, de liste de domaines et compatibles avec Suricata, avec les actions accepter, rejeter, alerter et refuser. Utilisez un ordre strict des règles avec un rejet par défaut pour le trafic sortant refusé par défaut. Les groupes de signatures gérés par AWS ajoutent une détection des menaces sélectionnées, et les journaux d’alerte vous permettent de tester les règles avant de les appliquer.