Perkara yang Disediakan oleh AWS Network Firewall

AWS Network Firewall ialah tembok api rangkaian terurus dan berkeadaan serta perkhidmatan pencegahan pencerobohan untuk VPC anda. Berbeza daripada kumpulan keselamatan (bagi setiap sumber) atau NACL (bagi setiap subnet), ia menyediakan pemeriksaan dan penapisan trafik secara mendalam di seluruh VPC yang diuruskan oleh AWS serta diskalakan secara automatik mengikut trafik anda.

Kumpulan keselamatan dan NACL hanya menapis berdasarkan IP, port dan protokol. Network Firewall menambah pemeriksaan paket mendalam dan boleh memadankan nama domain, protokol serta tandatangan serangan, lalu memberikan penapisan ala pencegahan pencerobohan dalam VPC yang tidak dapat disediakan oleh tembok api lebih ringkas.

Network Firewall mempunyai kedua-dua enjin tanpa keadaan untuk peraturan paket yang pantas dan ringkas serta enjin berkeadaan yang menjejaki sambungan dan menjalankan pemeriksaan lebih mendalam. Peraturan tanpa keadaan boleh membenarkan atau menggugurkan trafik dengan cepat, manakala peraturan berkeadaan menggunakan tandatangan yang serasi dengan Suricata untuk pengesanan lanjutan.

Anda menggunakan Network Firewall dengan mencipta titik akhir tembok api dalam subnet khusus dan menghalakan trafik melaluinya menggunakan perubahan jadual penghalaan. Reka bentuk biasa menggunakan subnet tembok api berasingan bagi setiap Zon Ketersediaan, dengan menghantar trafik VPC melalui titik akhir sebelum sampai ke internet atau subnet lain.

Network Firewall sesuai dengan corak seperti pemeriksaan berpusat menggunakan get laluan transit atau pemeriksaan setiap VPC. Trafik daripada VPC cabang boleh dihalakan melalui VPC pemeriksaan pusat yang menjalankan tembok api, membolehkan satu dasar melindungi banyak VPC dan memudahkan tadbir urus pada skala besar.

Sebagai perkhidmatan terurus, Network Firewall mengendalikan penskalaan, penampalan dan ketersediaan untuk anda. Menggunakan titik akhir merentas berbilang Zon Ketersediaan memberikan pemeriksaan yang berdaya tahan dan sangat tersedia tanpa anda perlu menjalankan serta menyelenggara perkakas tembok api sendiri.

Dasar tembok api mentakrifkan kumpulan peraturan tanpa keadaan dan berkeadaan, tindakan lalai serta tingkah laku yang dikuatkuasakan oleh tembok api. Satu dasar boleh dikaitkan dengan beberapa tembok api, lalu memusatkan peraturan pemeriksaan anda seperti ACL web WAF memusatkan peraturan web.

Salah satu kegunaan utama ialah penapisan egress (keluar): mengawal Domain dan destinasi luaran yang boleh dicapai oleh beban kerja anda. Ini menghalang perisian hasad daripada menghubungi pelayan pengendalinya, menyekat penghantaran keluar data ke laman yang tidak diluluskan, dan menguatkuasakan senarai Allow destinasi yang dibenarkan, sesuatu yang tidak dapat dilakukan oleh kumpulan keselamatan berdasarkan Domain.

Network Firewall menghasilkan log amaran dan aliran yang anda hantar ke CloudWatch Logs, S3 atau Kinesis Firehose. Log amaran merekodkan trafik yang mencetuskan peraturan berkeadaan; log aliran merekodkan metadata sambungan. Log ini menjadi input kepada alat pengesanan dan penyiasatan anda serta menyediakan jejak audit trafik yang diperiksa.

Network Firewall ialah alternatif natif AWS kepada penggunaan peralatan tembok api pihak ketiga pada EC2. Ia menghapuskan beban menentukan saiz, menampal dan menskalakan tika, sambil berintegrasi dengan penghalaan VPC dan Firewall Manager untuk penggunaan berpusat di seluruh organisasi.

Gunakan Network Firewall apabila anda memerlukan pencegahan pencerobohan seluruh VPC, kawalan egress berdasarkan Domain atau pemeriksaan berpusat yang melangkaui keupayaan kumpulan keselamatan dan NACL. Ia melengkapi WAF (permintaan web) dan Shield (DDoS), dengan mengisi lapisan pemeriksaan rangkaian mendalam dalam susunan pertahanan anda.

AWS Network Firewall ialah tembok api berkeadaan dan IPS terurus yang meliputi seluruh VPC, dengan pemeriksaan paket mendalam yang melangkaui Layer 3/4. Ia menjalankan enjin tanpa keadaan dan berkeadaan, digunakan melalui titik hujung tembok api dalam subnet khusus dengan perubahan laluan, serta menyokong pemeriksaan berpusat melalui get laluan transit. Kegunaan utamanya ialah penapisan egress berdasarkan Domain dan pencegahan pencerobohan, dengan pengelogan amaran dan aliran.