Tillståndsbaserade regelgrupper och Suricata-regler

Network Firewall organiserar regler i regelgrupper, som antingen är tillståndslösa eller tillståndsbaserade. Tillståndslösa grupper tillämpar snabba, anslutningsoberoende paketregler, medan tillståndsbaserade grupper följer anslutningens tillstånd och utför djupare, signaturbaserad inspektion. En brandväggspolicy refererar till båda typerna.

Tillståndslösa regelgrupper utvärderar varje paket oberoende utifrån grundläggande attribut som källa, destination, port och protokoll och skickar sedan paketet vidare, släpper det eller vidarebefordrar det till tillståndsbaserad inspektion. De är snabba och kostnadseffektiva och passar därför bra för grov filtrering innan den djupare tillståndsbaserade motorn granskar det som återstår.

Tillståndsbaserade regelgrupper förstår anslutningar och kan matcha protokollbeteende, domäner och hotsignaturer. Det är här den avancerade detekteringen sker, med stöd för tre format: 5-tuple-regler, domänlistregler och Suricata-kompatibla regler. Detta är kärnan i Network Firewalls intrångsskydd.

Tillståndsbaserade 5-tuple-regler matchar protokoll, käll- och destinations-IP samt käll- och destinationsport, tillsammans med riktning och åtgärd (pass, drop, alert). De liknar traditionella brandväggsregler men körs i den tillståndsbaserade motorn och förstår därför etablerade anslutningar.

Domänlistregler tillåter eller nekar trafik baserat på destinationens domännamn genom att inspektera SNI i TLS eller Host-huvudet i HTTP. Detta är det enklaste sättet att skapa tillåtelselistor eller blockeringslistor för domäner vid utgående kontroll, utan att skriva komplexa signaturer.

Network Firewall accepterar syntaxen för intrångsdetekteringsregler från Suricata med öppen källkod, en vanligt använd IDS/IPS-standard. På så sätt kan du återanvända community-baserade och kommersiella hotsignaturer för att upptäcka skadlig kod, exploateringar och protokollavvikelser, vilket ger mogen IPS-funktionalitet i din AWS VPC.

Tillståndsbaserade regelåtgärder omfattar pass (tillåt och stoppa ytterligare tillståndsbaserad utvärdering), drop (kasta tyst), alert (logga utan att blockera, ungefär som WAF count) och reject (kasta och skicka en TCP-reset). Alert-läget är ovärderligt när du testar signaturer innan du börjar tillämpa dem.

Du kan ställa in den tillståndsbaserade motorn så att regler utvärderas enligt standardåtgärdernas ordning eller i strikt ordning. Med strikt ordning kan du styra prioriteten exakt och ange ett standardbeteende att kasta trafik, vilket är avgörande för en deny-by-default-policy för utgående trafik där endast uttryckligen tillåten trafik släpps igenom.

AWS erbjuder hanterade regelgrupper för Network Firewall med utvalda, regelbundet uppdaterade hotsignaturer (till exempel mot känd skadlig kod, command-and-control och botnät). Precis som WAF:s hanterade regler kan du använda expertsköddat skydd utan att själv behöva skriva varje Suricata-regel.

Tillståndsbaserade regler som använder åtgärden alert skriver till brandväggens larmlogg, som visar exakt vilken signatur som matchade och vilken trafik som berördes. Genom att granska larmloggar validerar du nya regler, utreder misstänkt trafik och justerar bort falska positiva innan du ändrar larmen till drops.

En praktisk policy använder tillståndslösa regler för grov pass/drop-filtrering, en tillståndsbaserad domänlistgrupp för tillåtelselistor för utgående trafik och Suricata- eller hanterade signaturgrupper för intrångsskydd, med strikt ordning och drop som standard. Denna lagerindelade regelutformning ger både prestanda och djup.

Network Firewall använder tillståndslösa (snabba, paketbaserade) och tillståndsbaserade (anslutningsmedvetna) regelgrupper. Tillståndsbaserade format är 5-tuple, domänlista och Suricata-kompatibla, med åtgärderna pass, drop, alert och reject. Använd strikt regelordning med drop som standard för deny-by-default vid utgående trafik. AWS:s hanterade signaturgrupper ger utvald hotdetektering, och larmloggar gör att du kan testa regler innan du börjar tillämpa dem.