Возможности AWS Network Firewall

AWS Network Firewall — это управляемая брандмауэрная служба с отслеживанием состояния и предотвращением вторжений для Вашей VPC. В отличие от групп безопасности (для каждого ресурса) и NACL (для каждой подсети), она обеспечивает глубокую проверку и фильтрацию трафика во всей VPC, управляемую AWS, и автоматически масштабируется вместе с трафиком.

Группы безопасности и NACL фильтруют только по IP-адресу, порту и протоколу. Network Firewall добавляет глубокую проверку пакетов и может сопоставлять доменные имена, протоколы и сигнатуры атак, обеспечивая внутри VPC фильтрацию в стиле системы предотвращения вторжений, недоступную для более простых брандмауэров.

Network Firewall включает механизм без отслеживания состояния для быстрых простых правил обработки пакетов и механизм с отслеживанием состояния, который отслеживает соединения и выполняет более глубокую проверку. Правила без отслеживания состояния могут быстро пропускать или отбрасывать трафик, а правила с отслеживанием состояния применяют совместимые с Suricata сигнатуры для расширенного обнаружения.

Network Firewall развёртывается путём создания конечных точек брандмауэра в выделенных подсетях и маршрутизации через них с помощью изменений в таблицах маршрутов. В распространённой архитектуре для каждой зоны доступности используется отдельная подсеть брандмауэра, а трафик VPC направляется через конечную точку до выхода в интернет или перехода в другие подсети.

Network Firewall подходит для таких схем, как централизованная проверка с использованием транзитного шлюза или проверка в каждой VPC. Трафик из периферийных VPC можно направлять через центральную VPC проверки, в которой работает брандмауэр. Это позволяет одной политике защищать множество VPC и упрощает управление в больших масштабах.

Как управляемая служба Network Firewall самостоятельно выполняет для Вас масштабирование, установку исправлений и обеспечение доступности. Развёртывание конечных точек в нескольких зонах доступности обеспечивает отказоустойчивую проверку с высокой доступностью, и Вам не нужно самостоятельно запускать и обслуживать брандмауэрные устройства.

Политика брандмауэра определяет группы статeless- и stateful-правил, действия по умолчанию и поведение, которое должен обеспечивать брандмауэр. Одну политику можно связать с несколькими брандмауэрами, централизовав правила проверки подобно тому, как веб-ACL WAF централизует правила для веб-трафика.

Один из основных вариантов использования — фильтрация исходящего трафика: контроль внешних доменов и пунктов назначения, к которым могут обращаться Ваши рабочие нагрузки. Это не позволяет вредоносным программам связываться с управляющими серверами, блокирует вывод данных на неразрешённые сайты и обеспечивает списки разрешённых пунктов назначения, чего группы безопасности не могут делать по доменному имени.

Network Firewall создаёт журналы оповещений и потоков, которые можно отправлять в журналы CloudWatch, S3 или Kinesis Firehose. В журналах оповещений фиксируется трафик, вызвавший срабатывание stateful-правил; журналы потоков содержат метаданные соединений. Эти данные используются средствами обнаружения и расследования, а также предоставляют аудиторский след проверенного трафика.

Network Firewall — нативная для AWS альтернатива запуску сторонних устройств брандмауэра на EC2. Сервис снимает необходимость рассчитывать размер, устанавливать исправления и масштабировать экземпляры, а также интегрируется с маршрутизацией VPC и Firewall Manager для централизованного развёртывания во всей организации.

Используйте Network Firewall, когда Вам нужны предотвращение вторжений во всей VPC, управление исходящим трафиком по доменам или централизованная проверка, выходящие за возможности групп безопасности и NACL. Он дополняет WAF (веб-запросы) и Shield (DDoS), закрывая уровень глубокой проверки сети в Вашем комплексе защиты.

Определите подходящий инструмент.

AWS Network Firewall — управляемый stateful-брандмауэр и IPS для всей VPC с глубокой проверкой пакетов, выходящей за пределы уровней 3/4. Он использует stateless- и stateful-механизмы, развёртывается через конечные точки брандмауэра в выделенных подсетях с изменением маршрутов и поддерживает централизованную проверку через транзитные шлюзы. Основные варианты использования — основанная на доменах фильтрация исходящего трафика и предотвращение вторжений с ведением журналов оповещений и потоков.