Tilstandsbevarende regelgrupper og Suricata-regler

Network Firewall organiserer regler i regelgrupper, som enten er tilstandsløse eller tilstandsbevisste. Tilstandsløse grupper bruker raske, tilkoblingsløse pakkeregler, mens tilstandsbevisste grupper sporer tilkoblingstilstand og utfører dypere, signaturbasert inspeksjon. En brannmurpolicy refererer til begge typene.

Tilstandsløse regelgrupper evaluerer hver pakke uavhengig basert på grunnleggende attributter som kilde, destinasjon, port og protokoll, og sender den deretter videre, forkaster den eller videresender den til tilstandsbevisst inspeksjon. De er raske og kostnadseffektive, og egner seg godt til grovfiltrering før den dypere tilstandsbevisste motoren undersøker det som gjenstår.

Tilstandsbevisste regelgrupper forstår tilkoblinger og kan samsvare med protokollatferd, domener og trusselsignaturer. Det er her den avanserte deteksjonen skjer, med støtte for tre formater: 5-tuppelregler, domene-listeregler og Suricata-kompatible regler. Dette er kjernen i Network Firewalls inntrengingsforebygging.

Tilstandsbevisste 5-tuppelregler samsvarer med protokoll, kilde- og destinasjons-IP samt kilde- og destinasjonsport, sammen med en retning og handling (pass, drop, alert). De ligner tradisjonelle brannmurregler, men kjører i den tilstandsbevisste motoren og forstår derfor etablerte tilkoblinger.

Domene-listeregler tillater eller avviser trafikk basert på destinasjonens domennavn, ved å inspisere SNI i TLS eller Host-headeren i HTTP. Dette er den enkleste måten å lage tillatelses- eller blokkeringslister for domener til kontroll av utgående trafikk, uten å skrive komplekse signaturer.

Network Firewall godtar syntaksen for åpen kildekode-regler for inntrengingsdeteksjon fra Suricata, en mye brukt IDS/IPS-standard. Dermed kan du gjenbruke trusselsignaturer fra fellesskapet og kommersielle leverandører for å oppdage skadevare, utnyttelser og protokollavvik, og ta i bruk moden IPS-funksjonalitet i AWS-VPC-en din.

Handlinger for tilstandsbevisste regler omfatter pass (tillat og stopp videre tilstandsbevisst evaluering), drop (forkast i stillhet), alert (logg uten å blokkere, omtrent som WAF count) og reject (forkast og send en TCP-reset). Varselmodus er svært nyttig for å teste signaturer før de håndheves.

Du kan konfigurere den tilstandsbevisste motoren til å evaluere regler etter rekkefølge for standardhandling eller streng rekkefølge. Streng rekkefølge lar deg styre prioriteten nøyaktig og angi standardhandlingen drop. Dette er avgjørende for en policy for utgående trafikk med avvisning som standard, der bare eksplisitt tillatt trafikk slipper gjennom.

AWS tilbyr administrerte regelgrupper for Network Firewall med kuraterte, regelmessig oppdaterte trusselsignaturer (for eksempel mot kjent skadevare for kommando og kontroll og botnett). I likhet med WAF-administrerte regler lar de deg ta i bruk beskyttelse som vedlikeholdes av eksperter, uten å skrive hver enkelt Suricata-regel selv.

Tilstandsbevisste regler som bruker handlingen alert, skriver til brannmurens varsellogg, som viser nøyaktig hvilken signatur som samsvarte, og hvilken trafikk det gjaldt. Ved å gjennomgå varsellogger kan du validere nye regler, undersøke mistenkelig trafikk og justere bort falske positiver før du endrer varsler til drop.

En praktisk policy bruker tilstandsløse regler til grov pass/drop, en tilstandsbevisst domene-listegruppe til tillatelseslister for utgående trafikk og Suricata- eller administrerte signaturgrupper til inntrengingsforebygging, med streng rekkefølge og standardhandlingen drop. Denne lagdelte utformingen gir både ytelse og dybde.

Network Firewall bruker tilstandsløse (raske, per pakke) og tilstandsbevisste (tilkoblingsbevisste) regelgrupper. Tilstandsbevisste formater er 5-tuppel, domene-liste og Suricata-kompatible, med handlingene pass, drop, alert og reject. Bruk streng rekkefølge for regler med standardhandlingen drop for utgående trafikk med avvisning som standard. AWS administrerte signaturgrupper gir kuratert trusseldeteksjon, og varsellogger lar deg teste regler før de håndheves.