Ce que fournit AWS Network Firewall

AWS Network Firewall est un pare-feu réseau géré et à état, ainsi qu’un service de prévention des intrusions pour votre VPC. Contrairement aux groupes de sécurité (par ressource) ou aux NACL (par sous-réseau), il fournit une inspection et un filtrage approfondis du trafic à l’échelle du VPC, gérés par AWS, et s’adapte automatiquement à votre trafic.

Les groupes de sécurité et les NACL filtrent uniquement selon l’adresse IP, le port et le protocole. Network Firewall ajoute une inspection approfondie des paquets et peut effectuer des correspondances sur les noms de domaine, les protocoles et les signatures d’attaque, offrant dans le VPC un filtrage de type prévention des intrusions que les pare-feu plus simples ne peuvent pas fournir.

Network Firewall possède à la fois un moteur sans état pour les règles de paquets simples et rapides et un moteur à état qui suit les connexions et effectue une inspection plus approfondie. Les règles sans état peuvent rapidement laisser passer ou supprimer le trafic, tandis que les règles à état appliquent des signatures compatibles avec Suricata pour une détection avancée.

Vous déployez Network Firewall en créant des points de terminaison de pare-feu dans des sous-réseaux dédiés et en acheminant le trafic par leur intermédiaire grâce à des modifications des tables de routage. Une conception courante utilise un sous-réseau de pare-feu distinct par zone de disponibilité et fait passer le trafic du VPC par le point de terminaison avant qu’il n’atteigne Internet ou d’autres sous-réseaux.

Network Firewall s’intègre à des modèles tels que l’inspection centralisée au moyen d’une passerelle de transit ou l’inspection par VPC. Le trafic des VPC satellites peut être acheminé par un VPC d’inspection central exécutant le pare-feu, ce qui permet à une seule politique de protéger plusieurs VPC et simplifie la gouvernance à grande échelle.

En tant que service géré, Network Firewall prend en charge pour vous la mise à l’échelle, l’application des correctifs et la disponibilité. Le déploiement de points de terminaison dans plusieurs zones de disponibilité fournit une inspection résiliente et hautement disponible, sans que vous ayez à exécuter et à maintenir vous-même des appliances de pare-feu.

Une politique de pare-feu définit les groupes de règles sans état et avec état, les actions par défaut et le comportement appliqué par un pare-feu. Une même politique peut être associée à plusieurs pare-feu, ce qui centralise vos règles d’inspection, comme une ACL web WAF centralise les règles web.

Un cas d’utilisation majeur est le filtrage sortant : contrôler les domaines et destinations externes que vos charges de travail peuvent joindre. Cela empêche les logiciels malveillants de communiquer avec leur serveur de commande, bloque l’exfiltration de données vers des sites non approuvés et impose des listes d’autorisation de destinations permises, ce que les groupes de sécurité ne peuvent pas faire par domaine.

Network Firewall produit des journaux d’alerte et de flux que vous envoyez à CloudWatch Logs, S3 ou Kinesis Firehose. Les journaux d’alerte consignent le trafic ayant déclenché des règles avec état ; les journaux de flux consignent les métadonnées des connexions. Ils alimentent vos outils de détection et d’investigation et fournissent une piste d’audit du trafic inspecté.

Network Firewall est l’alternative native AWS à l’exécution d’appliances de pare-feu tierces sur EC2. Il vous évite de dimensionner, corriger et mettre à l’échelle les instances, tout en s’intégrant au routage VPC et à Firewall Manager pour un déploiement centralisé à l’échelle de l’organisation.

Utilisez Network Firewall lorsque vous avez besoin d’une prévention des intrusions à l’échelle du VPC, d’un contrôle sortant fondé sur les domaines ou d’une inspection centralisée allant au-delà de ce qu’offrent les groupes de sécurité et les NACL. Il complète WAF (requêtes web) et Shield (DDoS) en fournissant la couche d’inspection approfondie du réseau dans votre architecture de défense.

Identifiez l’outil approprié.

AWS Network Firewall est un pare-feu avec état et un IPS gérés, couvrant tout le VPC, avec une inspection approfondie des paquets au-delà des couches 3 et 4. Il exécute des moteurs sans état et avec état, se déploie au moyen de points de terminaison de pare-feu dans des sous-réseaux dédiés avec des modifications de routage, et prend en charge l’inspection centralisée via des passerelles de transit. Ses principales utilisations sont le filtrage sortant fondé sur les domaines et la prévention des intrusions, avec journalisation des alertes et des flux.