Gruppi di regole stateful e regole Suricata

Network Firewall organizza le regole in gruppi di regole, che possono essere stateless o stateful. I gruppi stateless applicano rapidamente regole ai pacchetti senza tenere conto dello stato della connessione; i gruppi stateful tengono traccia dello stato delle connessioni ed eseguono un'ispezione più approfondita basata sulle firme. Una policy del firewall fa riferimento a entrambi i tipi.

I gruppi di regole stateless valutano ogni pacchetto in modo indipendente, in base ad attributi di base come origine, destinazione, porta e protocollo, quindi lo inoltrano, lo eliminano o lo inviano all'ispezione stateful. Sono veloci ed economici, ideali per un filtraggio preliminare e approssimativo prima che il motore stateful più approfondito analizzi ciò che rimane.

I gruppi di regole stateful comprendono le connessioni e possono eseguire corrispondenze sul comportamento dei protocolli, sui domini e sulle firme delle minacce. È qui che avviene il rilevamento avanzato, con il supporto di tre formati: regole a 5 tuple, regole basate su elenchi di domini e regole compatibili con Suricata. Questo è il cuore della prevenzione delle intrusioni di Network Firewall.

Le regole stateful a 5 tuple eseguono corrispondenze su protocollo, IP di origine e destinazione e porta di origine e destinazione, con una direzione e un'azione (pass, drop, alert). Sono simili alle regole dei firewall tradizionali, ma vengono eseguite nel motore stateful, che riconosce quindi le connessioni già stabilite.

Le regole basate su elenchi di domini consentono o negano il traffico in base al nome di dominio di destinazione, esaminando l'SNI in TLS o l'intestazione Host in HTTP. È il modo più semplice per creare allow-list o deny-list di domini per il controllo del traffico in uscita, senza scrivere firme complesse.

Network Firewall accetta la sintassi open source delle regole di rilevamento delle intrusioni di Suricata, uno standard IDS/IPS ampiamente utilizzato. È quindi possibile riutilizzare firme delle minacce, sviluppate dalla community o commerciali, per rilevare malware, exploit e anomalie dei protocolli, portando funzionalità IPS mature nel proprio VPC AWS.

Le azioni delle regole stateful includono pass (consente il traffico e interrompe le successive valutazioni stateful), drop (scarta silenziosamente), alert (registra senza bloccare, come l'azione count di WAF) e reject (scarta e invia un reset TCP). La modalità alert è preziosa per testare le firme prima di applicarle effettivamente.

È possibile configurare il motore stateful affinché valuti le regole secondo l'ordine dell'azione predefinita o in ordine rigoroso. L'ordine rigoroso consente di controllare con precisione la precedenza e di impostare un'azione drop predefinita, essenziale per una policy del traffico in uscita con negazione predefinita, in cui passa solo il traffico esplicitamente consentito.

AWS offre gruppi di regole gestiti per Network Firewall, contenenti firme delle minacce selezionate e aggiornate regolarmente, ad esempio contro malware noti, server di comando e controllo e botnet. Come le regole gestite di WAF, consentono di adottare una protezione gestita da esperti senza dover scrivere personalmente ogni regola Suricata.

Le regole stateful che utilizzano l'azione alert scrivono nel log degli avvisi del firewall, mostrando esattamente quale firma ha trovato una corrispondenza e quale traffico era coinvolto. Esaminare i log degli avvisi consente di convalidare nuove regole, analizzare il traffico sospetto e ridurre i falsi positivi prima di trasformare gli avvisi in azioni drop.

Una policy pratica utilizza regole stateless per consentire o negare il traffico in modo approssimativo, un gruppo stateful basato su un elenco di domini per creare allow-list del traffico in uscita e gruppi di firme Suricata o gestite per la prevenzione delle intrusioni, con ordine rigoroso e drop predefinito. Questo design multilivello delle regole offre sia prestazioni sia profondità di analisi.

Abbini il formato della regola all'esigenza.

Network Firewall utilizza gruppi di regole stateless (veloci, per singolo pacchetto) e stateful (consapevoli dello stato della connessione). I formati stateful sono a 5 tuple, basati su elenchi di domini e compatibili con Suricata, con le azioni pass, drop, alert e reject. Utilizzi l'ordine rigoroso delle regole con un drop predefinito per il traffico in uscita con negazione predefinita. I gruppi di firme gestiti da AWS aggiungono il rilevamento curato delle minacce, mentre i log degli avvisi consentono di testare le regole prima di applicarle.