Stanowe grupy reguł i reguły Suricata

Network Firewall porządkuje reguły w grupy reguł, które są albo bezstanowe, albo stanowe. Grupy bezstanowe stosują szybkie reguły pakietów bez śledzenia połączeń, natomiast grupy stanowe śledzą stan połączeń i przeprowadzają głębszą inspekcję opartą na sygnaturach. Zasada zapory odwołuje się do obu typów.

Bezstanowe grupy reguł oceniają każdy pakiet niezależnie na podstawie podstawowych atrybutów, takich jak źródło, miejsce docelowe, port i protokół, a następnie przepuszczają go, odrzucają lub przekazują do inspekcji stanowej. Działają szybko i są niedrogie, dlatego idealnie nadają się do zgrubnego filtrowania przed dokładniejszą analizą pozostałego ruchu przez silnik stanowy.

Stanowe grupy reguł rozpoznają połączenia i mogą dopasowywać zachowanie protokołu, domeny oraz sygnatury zagrożeń. To w nich odbywa się zaawansowane wykrywanie, obsługujące trzy formaty: reguły 5-tuple, reguły list domen i reguły zgodne z Suricata. Jest to zasadnicza część funkcji zapobiegania włamaniom w Network Firewall.

Stanowe reguły 5-tuple dopasowują protokół, źródłowy i docelowy adres IP oraz źródłowy i docelowy port, a także kierunek i działanie (pass, drop, alert). Przypominają tradycyjne reguły zapory, ale działają w silniku stanowym, dzięki czemu rozpoznają już ustanowione połączenia.

Reguły list domen zezwalają na ruch lub go blokują na podstawie docelowej nazwy domeny, sprawdzając SNI w TLS lub nagłówek Host w HTTP. To najprostszy sposób tworzenia list dozwolonych lub blokowanych domen na potrzeby kontroli ruchu wychodzącego bez pisania złożonych sygnatur.

Network Firewall akceptuje składnię reguł wykrywania włamań Suricata typu open source, będącą powszechnie używanym standardem IDS/IPS. Pozwala to ponownie wykorzystać społecznościowe i komercyjne sygnatury zagrożeń do wykrywania złośliwego oprogramowania, exploitów i anomalii protokołów, zapewniając dojrzałe funkcje IPS w AWS VPC.

Działania reguł stanowych obejmują pass (zezwolenie i zakończenie dalszej oceny stanowej), drop (ciche odrzucenie), alert (zapisanie w logu bez blokowania, podobnie jak tryb count w WAF) oraz reject (odrzucenie i wysłanie resetu TCP). Tryb alert jest niezwykle przydatny podczas testowania sygnatur przed ich egzekwowaniem.

Silnik stanowy można skonfigurować tak, aby oceniał reguły według kolejności domyślnych działań albo w ścisłej kolejności. Ścisła kolejność pozwala precyzyjnie kontrolować pierwszeństwo i ustawić domyślne odrzucanie, co jest niezbędne w zasadzie ruchu wychodzącego domyślnie blokującej wszystko i przepuszczającej tylko jawnie dozwolony ruch.

AWS oferuje dla Network Firewall zarządzane grupy reguł zawierające wyselekcjonowane, regularnie aktualizowane sygnatury zagrożeń, na przykład sygnatury znanego złośliwego oprogramowania komunikującego się z serwerami sterującymi oraz botnetów. Podobnie jak zarządzane reguły WAF, pozwalają one korzystać z ochrony utrzymywanej przez ekspertów bez konieczności samodzielnego tworzenia każdej reguły Suricata.

Reguły stanowe używające działania alert zapisują informacje w logu alertów zapory, pokazując dokładnie, która sygnatura została dopasowana i jakiego ruchu dotyczyło dopasowanie. Przeglądanie logów alertów pozwala zatwierdzać nowe reguły, badać podejrzany ruch i eliminować fałszywe alarmy przed przełączeniem alertów na odrzucanie.

Praktyczna zasada używa reguł bezstanowych do zgrubnego przepuszczania lub odrzucania ruchu, stanowej grupy listy domen do tworzenia listy dozwolonych miejsc docelowych oraz grup sygnatur Suricata lub zarządzanych sygnatur do zapobiegania włamaniom, przy ścisłej kolejności i domyślnym odrzucaniu. Taka warstwowa konstrukcja reguł zapewnia zarówno wydajność, jak i dokładność.

Proszę dopasować format reguł do potrzeby.

Network Firewall używa bezstanowych grup reguł (szybkich, ocenianych dla każdego pakietu) oraz stanowych grup reguł (uwzględniających stan połączenia). Formaty stanowe to 5-tuple, lista domen i reguły zgodne z Suricata, a dostępne działania to pass, drop, alert i reject. W przypadku ruchu wychodzącego domyślnie blokującego wszystko należy użyć ścisłej kolejności reguł z domyślnym odrzucaniem. Zarządzane grupy sygnatur AWS zapewniają wyselekcjonowane wykrywanie zagrożeń, a logi alertów umożliwiają testowanie reguł przed ich egzekwowaniem.