Fungsi yang Disediakan AWS Network Firewall

AWS Network Firewall adalah layanan firewall jaringan terkelola dan stateful serta pencegahan intrusi untuk VPC Anda. Berbeda dari grup keamanan (per sumber daya) atau NACL (per subnet), layanan ini menyediakan inspeksi dan penyaringan lalu lintas secara mendalam di seluruh VPC yang dikelola AWS serta diskalakan otomatis mengikuti lalu lintas Anda.

Grup keamanan dan NACL hanya menyaring berdasarkan IP, port, dan protokol. Network Firewall menambahkan inspeksi paket mendalam dan dapat mencocokkan nama domain, protokol, serta tanda tangan serangan, sehingga menyediakan penyaringan bergaya pencegahan intrusi di dalam VPC yang tidak dapat diberikan firewall sederhana.

Network Firewall memiliki mesin stateless untuk aturan paket yang cepat dan sederhana serta mesin stateful yang melacak koneksi dan menjalankan inspeksi lebih mendalam. Aturan stateless dapat dengan cepat meneruskan atau menjatuhkan lalu lintas, sedangkan aturan stateful menerapkan tanda tangan yang kompatibel dengan Suricata untuk deteksi tingkat lanjut.

Anda menerapkan Network Firewall dengan membuat endpoint firewall di subnet khusus dan merutekan lalu lintas melewatinya melalui perubahan tabel rute. Desain umum menggunakan satu subnet firewall terpisah di setiap Availability Zone, dengan mengirimkan lalu lintas VPC melalui endpoint sebelum mencapai internet atau subnet lainnya.

Network Firewall mendukung pola seperti inspeksi terpusat menggunakan gateway transit atau inspeksi per VPC. Lalu lintas dari VPC spoke dapat dirutekan melalui VPC inspeksi pusat yang menjalankan firewall, sehingga satu kebijakan dapat melindungi banyak VPC dan menyederhanakan tata kelola dalam skala besar.

Sebagai layanan terkelola, Network Firewall menangani penskalaan, penambalan, dan ketersediaan untuk Anda. Penerapan endpoint di beberapa Availability Zone menyediakan inspeksi yang tangguh dan sangat tersedia tanpa Anda harus menjalankan serta memelihara perangkat firewall sendiri.

Kebijakan firewall menentukan grup aturan stateless dan stateful, tindakan Default, serta perilaku yang diberlakukan oleh firewall. Satu kebijakan dapat dikaitkan dengan beberapa firewall, sehingga aturan inspeksi terpusat seperti ACL web WAF memusatkan aturan web.

Salah satu penggunaan utamanya adalah penyaringan egress (keluar): mengendalikan Domain eksternal dan tujuan mana yang boleh dijangkau oleh beban kerja Anda. Hal ini menghentikan malware agar tidak menghubungi server pengendalinya, memblokir eksfiltrasi data ke situs yang tidak disetujui, dan memberlakukan daftar tujuan yang diizinkan, yang tidak dapat dilakukan oleh grup keamanan berdasarkan Domain.

Network Firewall menghasilkan log peringatan dan aliran yang dapat Anda kirim ke CloudWatch Logs, S3, atau Kinesis Firehose. Log peringatan mencatat lalu lintas yang memicu aturan stateful; log aliran mencatat metadata koneksi. Log ini menjadi masukan bagi alat deteksi dan investigasi Anda serta menyediakan jejak audit lalu lintas yang diinspeksi.

Network Firewall adalah alternatif asli AWS untuk menjalankan perangkat firewall pihak ketiga di EC2. Layanan ini menghilangkan beban penentuan ukuran, penambalan, dan penskalaan instans, sekaligus terintegrasi dengan perutean VPC dan Firewall Manager untuk penerapan terpusat di seluruh organisasi.

Gunakan Network Firewall saat Anda memerlukan pencegahan intrusi di seluruh VPC, pengendalian egress berbasis Domain, atau inspeksi terpusat yang melampaui kemampuan grup keamanan dan NACL. Layanan ini melengkapi WAF (permintaan web) dan Shield (DDoS), dengan mengisi lapisan inspeksi jaringan mendalam dalam tumpukan pertahanan Anda.

Identifikasikan alat yang tepat.

AWS Network Firewall adalah firewall stateful dan IPS terkelola di seluruh VPC dengan inspeksi paket mendalam yang melampaui Layer 3/4. Layanan ini menjalankan mesin stateless dan stateful, diterapkan melalui endpoint firewall di subnet khusus dengan perubahan rute, serta mendukung inspeksi terpusat melalui transit gateway. Penggunaan utamanya adalah penyaringan egress berbasis Domain dan pencegahan intrusi, dengan pencatatan peringatan dan aliran.