Stateful regelgroepen en Suricata-regels

Network Firewall organiseert regels in regelgroepen, die stateless of stateful zijn. Stateless groepen passen snelle, verbindingsloze pakketregels toe; stateful groepen houden de verbindingsstatus bij en voeren diepgaandere inspectie op basis van handtekeningen uit. Een firewallbeleid verwijst naar beide typen.

Stateless regelgroepen beoordelen elk pakket onafhankelijk op basiseigenschappen zoals bron, bestemming, poort en protocol en sturen het vervolgens door, verwijderen het of sturen het naar stateful inspectie. Ze zijn snel en goedkoop en zijn ideaal voor grove filtering voordat de diepgaandere stateful engine onderzoekt wat overblijft.

Stateful regelgroepen begrijpen verbindingen en kunnen overeenkomen met protocolgedrag, domeinen en dreigingshandtekeningen. Hier vindt geavanceerde detectie plaats, met ondersteuning voor drie indelingen: 5-tuple-regels, domeinlijstregels en Suricata-compatibele regels. Dit vormt het hart van de inbraakpreventie van Network Firewall.

Stateful 5-tuple-regels komen overeen met het protocol, het IP-adres van de bron en bestemming en de bron- en bestemmingspoort, met een richting en actie (pass, drop, alert). Ze lijken op traditionele firewallregels, maar worden uitgevoerd in de stateful engine en begrijpen daardoor bestaande verbindingen.

Domeinlijstregels staan verkeer toe of weigeren het op basis van de domeinnaam van de bestemming. Daarbij wordt de SNI in TLS of de Host-header in HTTP geïnspecteerd. Dit is de eenvoudigste manier om domein-allow-lists of deny-lists op te stellen voor controle van uitgaand verkeer, zonder complexe handtekeningen te schrijven.

Network Firewall accepteert de opensource-syntaxis voor Suricata-inbraakdetectieregels, een veelgebruikte IDS/IPS-standaard. Zo kun je community- en commerciële dreigingshandtekeningen hergebruiken om malware, exploits en protocolafwijkingen te detecteren en geavanceerde IPS-mogelijkheden naar je AWS VPC brengen.

Acties van stateful regels zijn onder andere pass (toestaan en verdere stateful evaluatie stoppen), drop (stil verwijderen), alert (loggen zonder te blokkeren, zoals WAF count) en reject (verwijderen en een TCP-reset verzenden). De alert-modus is bijzonder waardevol om handtekeningen te testen voordat je ze afdwingt.

Je kunt de stateful engine regels laten evalueren volgens de volgorde van de standaardactie of volgens een strikte volgorde. Met een strikte volgorde bepaal je de prioriteit nauwkeurig en stel je een standaardactie voor verwijderen in. Dat is essentieel voor een beleid voor uitgaand verkeer waarbij standaard alles wordt geweigerd en alleen expliciet toegestaan verkeer doorgaat.

AWS biedt beheerde regelgroepen voor Network Firewall met geselecteerde, regelmatig bijgewerkte dreigingshandtekeningen, bijvoorbeeld tegen bekende malware voor command-and-control en botnets. Net als beheerde WAF-regels kun je hiermee door experts onderhouden beveiliging gebruiken zonder elke Suricata-regel zelf te schrijven.

Stateful regels die de actie alert gebruiken, schrijven naar het waarschuwingslogboek van de firewall. Daarin zie je precies welke handtekening overeenkwam en om welk verkeer het ging. Door waarschuwingslogboeken te bekijken, kun je nieuwe regels valideren, verdacht verkeer onderzoeken en fout-positieven verminderen voordat je waarschuwingen omzet in verwijderacties.

Een praktisch beleid gebruikt stateless regels voor grove pass/drop-beslissingen, een stateful domeinlijstgroep voor een allow-list van uitgaand verkeer en Suricata- of beheerde handtekeninggroepen voor inbraakpreventie, met een strikte volgorde en standaard verwijderen. Dit gelaagde regelontwerp biedt zowel prestaties als diepgang.

Network Firewall gebruikt stateless (snel, per pakket) en stateful (verbindingsbewust) regelgroepen. Stateful indelingen zijn 5-tuple, domeinlijst en Suricata-compatibel, met de acties pass, drop, alert en reject. Gebruik een strikte regelvolgorde met standaard verwijderen voor uitgaand verkeer dat standaard wordt geweigerd. AWS beheerde handtekeninggroepen voegen geselecteerde dreigingsdetectie toe en met waarschuwingslogboeken kun je regels testen voordat je ze afdwingt.