Hva AWS Network Firewall tilbyr

AWS Network Firewall er en administrert, tilstandsbevisst nettverksbrannmur og inntrengingsforebyggende tjeneste for Deres VPC. I motsetning til sikkerhetsgrupper (per ressurs) eller NACL-er (per subnett) tilbyr den grundig, VPC-omfattende trafikkinspeksjon og filtrering som administreres av AWS, og skalerer automatisk med trafikken.

Sikkerhetsgrupper og NACL-er filtrerer bare etter IP, port og protokoll. Network Firewall legger til grundig pakkeinspeksjon og kan samsvare med domenenavn, protokoller og angrepssignaturer. Dermed får De filtrering inne i VPC-en med funksjonalitet som en inntrengingsforebyggende løsning, noe de enklere brannmurene ikke kan tilby.

Network Firewall har både en tilstandsløs motor for raske, enkle pakkeregler og en tilstandsbasert motor som sporer forbindelser og utfører grundigere inspeksjon. Tilstandsløse regler kan raskt slippe gjennom eller forkaste trafikk, mens tilstandsbaserte regler bruker Suricata-kompatible signaturer for avansert deteksjon.

De distribuerer Network Firewall ved å opprette brannmursendepunkter i dedikerte subnett og rute trafikken gjennom dem ved å endre rutetabeller. Et vanlig design bruker et separat brannmursubnett per tilgjengelighetssone og sender VPC-trafikken gjennom endepunktet før den når internett eller andre subnett.

Network Firewall passer inn i mønstre som sentralisert inspeksjon ved hjelp av en transit gateway, eller inspeksjon per VPC. Trafikk fra spoke-VPC-er kan rutes gjennom en sentral inspeksjons-VPC som kjører brannmuren. Dermed kan én policy beskytte mange VPC-er, noe som forenkler styring i stor skala.

Som en administrert tjeneste håndterer Network Firewall skalering, oppdateringer og tilgjengelighet for Dem. Når endepunkter distribueres på tvers av flere tilgjengelighetssoner, får De robust inspeksjon med høy tilgjengelighet uten å måtte kjøre og vedlikeholde brannmurapplikasjoner selv.

En brannmurpolicy definerer de tilstandsløse og tilstandsbevisste regelgruppene, standardhandlingene og atferden som en brannmur håndhever. Én policy kan knyttes til flere brannmurer, slik at inspeksjonsreglene sentraliseres omtrent som en WAF-web-ACL sentraliserer webregler.

Et viktig bruksområde er utgående filtrering: å kontrollere hvilke eksterne domener og destinasjoner arbeidslastene dine kan nå. Dette hindrer skadevare i å kontakte angripere, blokkerer dataeksfiltrering til ikke-godkjente nettsteder og håndhever tillatelseslister over tillatte destinasjoner, noe sikkerhetsgrupper ikke kan gjøre basert på domene.

Network Firewall produserer varsels- og flytlogger som du sender til CloudWatch Logs, S3 eller Kinesis Firehose. Varsellogger registrerer trafikk som utløste tilstandsbevisste regler, mens flytlogger registrerer metadata om tilkoblinger. Disse loggene brukes av verktøyene dine for deteksjon og undersøkelser, og gir et revisjonsspor for inspisert trafikk.

Network Firewall er det AWS-integrerte alternativet til å kjøre brannmurapparater fra tredjeparter på EC2. Det fjerner behovet for å dimensjonere, patche og skalere instanser, samtidig som det integreres med VPC-ruting og Firewall Manager for sentralisert utrulling i hele organisasjonen.

Bruk Network Firewall når du trenger inntrengingsforebygging for hele VPC-en, domene basert kontroll av utgående trafikk eller sentralisert inspeksjon utover det sikkerhetsgrupper og NACL-er tilbyr. Det utfyller WAF (webforespørsler) og Shield (DDoS), og fyller laget for grundig nettverksinspeksjon i forsvarsstakken din.

AWS Network Firewall er en administrert, tilstandsbevisst brannmur og IPS for hele VPC-en, med grundig pakkeinspeksjon utover lag 3/4. Den kjører tilstandsløse og tilstandsbevisste motorer, distribueres via brannmursendepunkter i dedikerte subnett med ruteendringer og støtter sentralisert inspeksjon gjennom transittgatewayer. Viktige bruksområder er domene basert utgående filtrering og inntrengingsforebygging, med varsels- og flytlogging.