Grupos de Regras com Estado e Regras Suricata

O Network Firewall organiza as regras em grupos de regras, que podem ser sem estado ou com estado. Os grupos sem estado aplicam regras rápidas e sem conexão aos pacotes; os grupos com estado acompanham o estado das conexões e executam uma inspeção mais profunda baseada em assinaturas. Uma política de firewall faz referência aos dois tipos.

Os grupos de regras sem estado avaliam cada pacote de forma independente, com base em atributos básicos como origem, destino, porta e protocolo, e então permitem, descartam ou encaminham o pacote para a inspeção com estado. Eles são rápidos e econômicos, sendo ideais para uma filtragem geral antes que o mecanismo com estado examine o que restou.

Os grupos de regras com estado entendem as conexões e podem verificar o comportamento do protocolo, os domínios e as assinaturas de ameaças. É neles que ocorre a detecção avançada, com suporte a três formatos: regras de 5 tuplas, regras de lista de domínios e regras compatíveis com o Suricata. Esse é o núcleo da prevenção contra intrusões do Network Firewall.

As regras com estado de 5 tuplas verificam o protocolo, o IP de origem e de destino e as portas de origem e de destino, além de uma direção e uma ação (permitir, descartar ou alertar). Elas se parecem com regras de firewall tradicionais, mas são executadas no mecanismo com estado e, portanto, entendem as conexões estabelecidas.

As regras de lista de domínios permitem ou negam o tráfego com base no nome de domínio de destino, inspecionando o SNI no TLS ou o cabeçalho Host no HTTP. Essa é a maneira mais simples de criar listas de permissões ou de bloqueio de domínios para controlar a saída sem escrever assinaturas complexas.

O Network Firewall aceita a sintaxe de regras de detecção de intrusões do Suricata, um padrão de IDS/IPS de código aberto amplamente utilizado. Isso permite reutilizar assinaturas de ameaças da comunidade e comerciais para detectar malwares, explorações e anomalias de protocolo, trazendo recursos maduros de IPS para sua VPC da AWS.

As ações das regras com estado incluem permitir (permitir e interromper novas avaliações com estado), descartar (eliminar silenciosamente), alertar (registrar sem bloquear, como a contagem do WAF) e rejeitar (descartar e enviar uma redefinição de TCP). O modo de alerta é inestimável para testar assinaturas antes de aplicá-las.

Você pode configurar o mecanismo com estado para avaliar as regras pela ordem de ação padrão ou pela ordem estrita. A ordem estrita permite controlar a precedência com precisão e definir um descarte padrão, algo essencial para uma política de saída que nega por padrão e permite somente o tráfego autorizado explicitamente.

A AWS oferece grupos de regras gerenciados para o Network Firewall, contendo assinaturas de ameaças selecionadas e atualizadas regularmente, por exemplo, contra malwares conhecidos de comando e controle e botnets. Assim como as regras gerenciadas do WAF, elas permitem adotar uma proteção mantida por especialistas sem criar todas as regras do Suricata por conta própria.

As regras com estado que usam a ação alertar gravam no log de alertas do firewall, mostrando exatamente qual assinatura correspondeu e qual tráfego estava envolvido. Analisar os logs de alertas é como você valida novas regras, investiga tráfego suspeito e ajusta falsos positivos antes de transformar alertas em descartes.

Uma política prática usa regras sem estado para permitir ou descartar de forma geral, um grupo com estado de lista de domínios para criar uma lista de permissões de saída e grupos de assinaturas do Suricata ou gerenciadas para prevenção contra intrusões, com ordem estrita e descarte padrão. Esse design de regras em camadas oferece desempenho e profundidade.

Associe o formato da regra à necessidade.

O Network Firewall usa grupos de regras sem estado (rápidos e aplicados por pacote) e com estado (cientes das conexões). Os formatos com estado são 5 tuplas, lista de domínios e compatível com o Suricata, com as ações permitir, descartar, alertar e rejeitar. Use a ordem estrita das regras com descarte padrão para uma saída que nega por padrão. Os grupos de assinaturas gerenciados da AWS acrescentam detecção selecionada de ameaças, e os logs de alertas permitem testar as regras antes de aplicá-las.