Durum Bilgili Kural Grupları ve Suricata Kuralları

Network Firewall, kuralları kural grupları halinde düzenler; bunlar durumsuz veya durum bilgili olur. Durumsuz gruplar hızlı ve bağlantısız paket kuralları uygular; durum bilgili gruplar bağlantı durumunu izler ve daha derin, imza tabanlı inceleme yapar. Bir güvenlik duvarı politikası her iki türü de referans alır.

Durumsuz kural grupları her paketi kaynak, hedef, bağlantı noktası ve protokol gibi temel özniteliklere göre bağımsız olarak değerlendirir; ardından paketi geçirir, bırakır veya durum bilgili incelemeye yönlendirir. Hızlı ve düşük maliyetlidir; daha derin durum bilgili motorun geriye kalanları incelemesinden önce kaba filtreleme için idealdir.

Durum bilgili kural grupları bağlantıları anlar ve protokol davranışı, etki alanları ve tehdit imzalarıyla eşleştirme yapabilir. Gelişmiş algılama burada gerçekleştirilir ve üç biçim desteklenir: 5'li demet kuralları, etki alanı listesi kuralları ve Suricata uyumlu kurallar. Network Firewall'ın izinsiz giriş önleme özelliğinin temelini bunlar oluşturur.

Durum bilgili 5'li demet kuralları; protokol, kaynak ve hedef IP'si ile kaynak ve hedef bağlantı noktası, ayrıca yön ve eylem (geçir, bırak, uyar) üzerinden eşleştirme yapar. Geleneksel güvenlik duvarı kurallarına benzer, ancak durum bilgili motorda çalıştıkları için kurulmuş bağlantıları anlarlar.

Etki alanı listesi kuralları, trafiğe hedef etki alanı adına göre izin verir veya trafiği reddeder; TLS içindeki SNI'ı ya da HTTP'deki Host üst bilgisini inceler. Karmaşık imzalar yazmadan egress denetimi için etki alanı izin veya ret listeleri oluşturmanın en basit yolu budur.

Network Firewall, yaygın olarak kullanılan bir IDS/IPS standardı olan açık kaynaklı Suricata izinsiz giriş algılama kural söz dizimini kabul eder. Böylece topluluk ve ticari tehdit imzalarını yeniden kullanarak kötü amaçlı yazılımları, açıkları ve protokol anormalliklerini algılayabilir, olgun IPS özelliklerini AWS VPC'nize taşıyabilirsiniz.

Durum bilgili kural eylemleri arasında pass (izin verip sonraki durum bilgili değerlendirmeyi durdurur), drop (sessizce atar), alert (engellemeden günlükler; WAF count gibi) ve reject (atıp TCP sıfırlaması gönderir) bulunur. Uyarı modu, imzaları zorunlu kılmadan önce test etmek için çok değerlidir.

Durum bilgili motoru kuralları default action order veya strict order ile değerlendirecek şekilde ayarlayabilirsiniz. Strict order, önceliği kesin olarak denetlemenize ve varsayılan bir drop belirlemenize olanak tanır. Bu, yalnızca açıkça izin verilen trafiğin geçmesine izin veren varsayılan olarak reddetme yaklaşımındaki bir egress politikası için gereklidir.

AWS, özenle seçilmiş ve düzenli olarak güncellenen tehdit imzalarını içeren yönetilen kural grupları sunar (örneğin bilinen kötü amaçlı yazılım komuta ve kontrol sunucularına ve botnet'lere karşı). WAF yönetilen kurallarında olduğu gibi, her Suricata kuralını kendiniz yazmadan uzmanlarca sürdürülen korumayı kullanmanıza olanak tanır.

alert eylemini kullanan durum bilgili kurallar, tam olarak hangi imzanın eşleştiğini ve ilgili trafiği göstererek güvenlik duvarının uyarı günlüğüne yazar. Uyarı günlüklerini incelemek, yeni kuralları doğrulamanın, şüpheli trafiği araştırmanın ve uyarıları bırakma eylemine dönüştürmeden önce yanlış pozitifleri ayarlamanın yoludur.

Uygulamalı bir politika, kaba geçir/bırak işlemleri için durumsuz kuralları, egress izin listesi için etki alanı listesi durum bilgili grubunu ve izinsiz giriş önleme için Suricata veya yönetilen imza gruplarını; strict order ve varsayılan drop ile kullanır. Bu katmanlı kural tasarımı hem performans hem de derinlik sağlar.

Kural biçimini gereksinimle eşleştirin.

Network Firewall, durumsuz (hızlı, paket başına) ve durum bilgili (bağlantı farkındalığı olan) kural grupları kullanır. Durum bilgili biçimler 5'li demet, etki alanı listesi ve Suricata uyumlu kurallardır; eylemler geçir, bırak, alert ve reddettir. Varsayılan olarak reddedilen egress için varsayılan drop ile strict rule order kullanın. AWS yönetilen imza grupları özenle seçilmiş tehdit algılama özelliği ekler ve uyarı günlükleri, kuralları uygulamaya koymadan önce test etmenizi sağlar.