Cosa offre AWS Network Firewall

AWS Network Firewall è un firewall di rete gestito e con stato, nonché un servizio di prevenzione delle intrusioni per la Sua VPC. A differenza dei security group (per risorsa) o delle NACL (per sottorete), fornisce un’ispezione e un filtraggio approfonditi del traffico sull’intera VPC, gestiti da AWS e scalati automaticamente in base al traffico.

I security group e le NACL filtrano solo in base a IP, porta e protocollo. Network Firewall aggiunge la deep packet inspection e può confrontare nomi di dominio, protocolli e firme di attacco, offrendo nella VPC un filtraggio in stile prevenzione delle intrusioni che i firewall più semplici non sono in grado di fornire.

Network Firewall dispone sia di un motore senza stato per regole sui pacchetti semplici e rapide, sia di un motore con stato che tiene traccia delle connessioni ed esegue ispezioni più approfondite. Le regole senza stato possono consentire o bloccare rapidamente il traffico, mentre quelle con stato applicano firme compatibili con Suricata per il rilevamento avanzato.

Network Firewall viene distribuito creando endpoint firewall in sottoreti dedicate e instradando il traffico attraverso di essi mediante modifiche alle tabelle di routing. Un modello comune utilizza una sottorete firewall separata per ogni Availability Zone e invia il traffico della VPC attraverso l’endpoint prima che raggiunga Internet o altre sottoreti.

Network Firewall supporta modelli come l’ispezione centralizzata tramite un transit gateway oppure l’ispezione per singola VPC. Il traffico proveniente dalle VPC spoke può essere instradato attraverso una VPC di ispezione centrale che esegue il firewall, consentendo a un’unica policy di proteggere molte VPC e semplificando la governance su larga scala.

Essendo un servizio gestito, Network Firewall si occupa per Lei di scalabilità, applicazione delle patch e disponibilità. La distribuzione degli endpoint in più Availability Zone offre un’ispezione resiliente e altamente disponibile senza che Lei debba eseguire e gestire personalmente appliance firewall.

Una policy del firewall definisce i gruppi di regole stateless e stateful, le azioni predefinite e il comportamento applicati dal firewall. Una policy può essere associata a più firewall, centralizzando le regole di ispezione in modo simile a come una web ACL di WAF centralizza le regole web.

Un caso d'uso importante è il filtraggio del traffico in uscita: controllare i domini e le destinazioni esterne che i carichi di lavoro possono raggiungere. In questo modo si impedisce al malware di comunicare con i server degli aggressori, si blocca l'esfiltrazione dei dati verso siti non approvati e si applicano allow-list di destinazioni consentite, cosa che i security group non possono fare in base al dominio.

Network Firewall produce log degli avvisi e dei flussi che è possibile inviare a CloudWatch Logs, S3 o Kinesis Firehose. I log degli avvisi registrano il traffico che ha attivato regole stateful; i log dei flussi registrano i metadati delle connessioni. Questi dati alimentano gli strumenti di rilevamento e analisi e forniscono una traccia di controllo del traffico ispezionato.

Network Firewall è l'alternativa nativa AWS all'esecuzione di appliance firewall di terze parti su EC2. Elimina l'onere di dimensionare, applicare patch e scalare le istanze, integrandosi al contempo con il routing VPC e con Firewall Manager per una distribuzione centralizzata a livello dell'intera organizzazione.

Utilizzi Network Firewall quando sono necessari prevenzione delle intrusioni a livello dell'intero VPC, controllo del traffico in uscita basato sul dominio o ispezione centralizzata, oltre ciò che offrono i security group e le NACL. Completa WAF (richieste web) e Shield (DDoS), coprendo il livello di ispezione approfondita della rete nella strategia di difesa.

Individui lo strumento corretto.

AWS Network Firewall è un firewall stateful e un IPS gestiti, operativi a livello dell'intero VPC, con ispezione approfondita dei pacchetti oltre il livello 3/4. Esegue motori stateless e stateful, viene distribuito tramite endpoint firewall in sottoreti dedicate con modifiche alle route e supporta l'ispezione centralizzata attraverso i transit gateway. Gli usi principali sono il filtraggio del traffico in uscita basato sul dominio e la prevenzione delle intrusioni, con logging di avvisi e flussi.