Grup Aturan Stateful dan Aturan Suricata

Network Firewall mengatur aturan ke dalam grup aturan, yang dapat berupa stateless atau stateful. Grup stateless menerapkan aturan paket yang cepat dan tanpa koneksi; grup stateful melacak status koneksi dan menjalankan inspeksi yang lebih mendalam berbasis tanda tangan. Kebijakan firewall merujuk pada kedua jenis tersebut.

Grup aturan stateless mengevaluasi setiap paket secara independen berdasarkan atribut dasar seperti sumber, tujuan, port, dan protokol, lalu meneruskan, membuang, atau mengarahkannya ke inspeksi stateful. Grup ini cepat dan murah, sehingga ideal untuk penyaringan kasar sebelum mesin stateful yang lebih mendalam memeriksa paket yang tersisa.

Grup aturan stateful memahami koneksi dan dapat mencocokkan perilaku protokol, Domain, serta tanda tangan ancaman. Di sinilah deteksi lanjutan berlangsung, dengan dukungan untuk tiga format: aturan 5-tuple, aturan daftar Domain, dan aturan yang kompatibel dengan Suricata. Inilah inti pencegahan intrusi Network Firewall.

Aturan stateful 5-tuple mencocokkan protokol, IP sumber dan tujuan, serta port sumber dan tujuan, disertai arah dan tindakan (pass, DROP, alert). Aturan ini menyerupai aturan firewall tradisional, tetapi berjalan di mesin stateful sehingga memahami koneksi yang telah terbentuk.

Aturan daftar Domain mengizinkan atau menolak lalu lintas berdasarkan nama Domain tujuan, dengan memeriksa SNI dalam TLS atau header Host dalam HTTP. Ini adalah cara paling sederhana untuk membuat daftar Domain yang diizinkan atau ditolak guna mengendalikan egress tanpa menulis tanda tangan yang rumit.

Network Firewall menerima sintaks aturan deteksi intrusi sumber terbuka Suricata, yang merupakan standar IDS/IPS yang banyak digunakan. Dengan demikian, Anda dapat menggunakan kembali tanda tangan ancaman dari komunitas dan vendor komersial untuk mendeteksi malware, eksploit, dan anomali protokol, sehingga kemampuan IPS yang matang tersedia di VPC AWS Anda.

Tindakan aturan stateful mencakup pass (mengizinkan dan menghentikan evaluasi stateful selanjutnya), DROP (membuang secara diam-diam), alert (mencatat tanpa memblokir, seperti penghitungan WAF), dan reject (membuang lalu mengirim reset TCP). Mode alert sangat berguna untuk menguji tanda tangan sebelum memberlakukannya.

Anda dapat mengatur mesin stateful untuk mengevaluasi aturan berdasarkan urutan tindakan Default atau urutan ketat. Urutan ketat memungkinkan Anda mengendalikan prioritas secara tepat dan menetapkan DROP Default, yang penting untuk kebijakan egress dengan penolakan sebagai Default, ketika hanya lalu lintas yang diizinkan secara eksplisit yang dapat lewat.

AWS menyediakan grup aturan terkelola untuk Network Firewall yang berisi tanda tangan ancaman terkurasi dan diperbarui secara berkala, misalnya terhadap malware yang telah dikenal, server command-and-control, dan botnet. Seperti aturan terkelola WAF, grup ini memungkinkan Anda menggunakan perlindungan yang dikelola oleh pakar tanpa menulis setiap aturan Suricata sendiri.

Aturan stateful yang menggunakan tindakan alert menulis ke log peringatan firewall, dengan menunjukkan secara tepat tanda tangan yang cocok dan lalu lintas yang terlibat. Meninjau log peringatan adalah cara untuk memvalidasi aturan baru, menyelidiki lalu lintas mencurigakan, dan mengurangi positif palsu sebelum mengubah peringatan menjadi DROP.

Kebijakan praktis menggunakan aturan stateless untuk pass/DROP kasar, grup stateful daftar Domain untuk membuat daftar egress yang diizinkan, serta grup tanda tangan Suricata atau terkelola untuk pencegahan intrusi, dengan urutan ketat dan DROP Default. Desain aturan berlapis ini memberikan performa sekaligus kedalaman inspeksi.

Cocokkan format aturan dengan kebutuhannya.

Network Firewall menggunakan grup aturan stateless (cepat, per paket) dan stateful (memahami koneksi). Format stateful adalah 5-tuple, daftar Domain, dan yang kompatibel dengan Suricata, dengan tindakan pass, DROP, alert, dan reject. Gunakan urutan aturan ketat dengan DROP Default untuk egress yang secara Default ditolak. Grup tanda tangan terkelola AWS menambahkan deteksi ancaman terkurasi, dan log peringatan memungkinkan Anda menguji aturan sebelum memberlakukannya.