AWS Network Firewall이 제공하는 기능

AWS Network Firewall은 VPC를 위한 관리형 상태 저장 네트워크 방화벽이자 침입 방지 서비스입니다. 리소스별로 적용되는 보안 그룹이나 서브넷별로 적용되는 NACL과 달리, AWS가 관리하는 심층적인 VPC 전체 트래픽 검사 및 필터링을 제공하며 트래픽에 맞춰 자동으로 확장됩니다.

보안 그룹과 NACL은 IP, 포트, 프로토콜만 기준으로 필터링합니다. Network Firewall은 심층 패킷 검사를 추가하고 도메인 이름, 프로토콜, 공격 시그니처를 기준으로 일치 여부를 확인할 수 있습니다. 따라서 단순한 방화벽으로는 제공할 수 없는 침입 방지 방식의 필터링을 VPC 내부에서 수행할 수 있습니다.

Network Firewall에는 빠르고 단순한 패킷 규칙을 처리하는 비상태 저장 엔진과 연결을 추적하고 더 심층적인 검사를 수행하는 상태 저장 엔진이 모두 있습니다. 비상태 저장 규칙은 트래픽을 신속하게 통과시키거나 차단할 수 있으며, 상태 저장 규칙은 고급 탐지를 위해 Suricata 호환 시그니처를 적용합니다.

Network Firewall은 전용 서브넷에 방화벽 엔드포인트를 생성하고 라우팅 테이블을 변경하여 트래픽이 해당 엔드포인트를 통과하도록 구성합니다. 일반적인 설계에서는 가용 영역마다 별도의 방화벽 서브넷을 사용하여 VPC 트래픽이 인터넷이나 다른 서브넷에 도달하기 전에 엔드포인트를 통과하게 합니다.

Network Firewall은 트랜짓 게이트웨이를 사용하는 중앙 집중식 검사나 VPC별 검사와 같은 패턴에 적합합니다. 스포크 VPC의 트래픽을 방화벽이 실행되는 중앙 검사 VPC를 통과하도록 라우팅하면 하나의 정책으로 여러 VPC를 보호할 수 있어 대규모 환경의 거버넌스가 간소화됩니다.

관리형 서비스인 Network Firewall은 확장, 패치 적용, 가용성을 대신 관리합니다. 여러 가용 영역에 엔드포인트를 배포하면 직접 방화벽 어플라이언스를 실행하고 유지 관리하지 않아도 복원력 높고 가용성이 뛰어난 검사를 구현할 수 있습니다.

방화벽 정책은 방화벽이 적용하는 비상태 저장 및 상태 저장 규칙 그룹, 기본 작업, 동작을 정의합니다. 하나의 정책을 여러 방화벽에 연결할 수 있으므로, WAF 웹 ACL이 웹 규칙을 중앙 집중화하는 것처럼 검사 규칙을 중앙 집중화할 수 있습니다.

주요 사용 사례 중 하나는 송신 트래픽 필터링입니다. 즉, 워크로드가 연결할 수 있는 외부 도메인과 대상을 제어합니다. 이를 통해 악성 코드가 공격자에게 연결하는 것을 막고, 승인되지 않은 사이트로 데이터가 유출되는 것을 차단하며, 보안 그룹으로는 도메인별로 수행할 수 없는 허용 대상 목록을 적용할 수 있습니다.

Network Firewall은 CloudWatch Logs, S3 또는 Kinesis Firehose로 전송할 수 있는 경보 로그와 흐름 로그를 생성합니다. 경보 로그에는 상태 저장 규칙을 트리거한 트래픽이 기록되고, 흐름 로그에는 연결 메타데이터가 기록됩니다. 이러한 로그는 탐지 및 조사 도구의 입력으로 사용되며, 검사된 트래픽의 감사 추적을 제공합니다.

Network Firewall은 EC2에서 타사 방화벽 어플라이언스를 실행하는 대신 사용할 수 있는 AWS 기본 서비스입니다. 인스턴스의 규모 산정, 패치 적용, 확장에 따른 부담을 없애고, VPC 라우팅 및 Firewall Manager와 통합되어 조직 전체에 중앙 집중식으로 배포할 수 있습니다.

보안 그룹과 NACL이 제공하는 수준을 넘어 VPC 전체의 침입 방지, 도메인 기반 송신 제어 또는 중앙 집중식 검사가 필요할 때 Network Firewall을 사용합니다. Network Firewall은 WAF(웹 요청) 및 Shield(DDoS)를 보완하여 보안 스택에서 심층 네트워크 검사 계층을 담당합니다.

적절한 도구를 식별해 보십시오.

AWS Network Firewall은 계층 3/4를 넘어 심층 패킷 검사를 제공하는 관리형 VPC 전체 상태 저장 방화벽이자 IPS입니다. 비상태 저장 엔진과 상태 저장 엔진을 실행하고, 전용 서브넷의 방화벽 엔드포인트와 라우팅 변경을 통해 배포하며, 트랜짓 게이트웨이를 통한 중앙 집중식 검사을 지원합니다. 주요 용도는 도메인 기반 송신 트래픽 필터링과 침입 방지이며, 경보 및 흐름 로깅도 제공합니다.