AWS Network Firewall'ın Sağladıkları

AWS Network Firewall, VPC'niz için yönetilen, durum bilgisi tutan bir ağ güvenlik duvarı ve saldırı önleme hizmetidir. Güvenlik gruplarının (kaynak başına) veya NACL'lerin (alt ağ başına) aksine, AWS tarafından yönetilen derinlemesine, VPC genelinde trafik inceleme ve filtreleme sağlar ve trafiğinizle otomatik olarak ölçeklenir.

Güvenlik grupları ve NACL'ler yalnızca IP, bağlantı noktası ve protokole göre filtreleme yapar. Network Firewall derin paket incelemesi ekler ve etki alanı adları, protokoller ve saldırı imzalarıyla eşleşebilir. Böylece VPC içinde, daha basit güvenlik duvarlarının sağlayamadığı saldırı önleme tarzı filtreleme elde edersiniz.

Network Firewall'da hem hızlı ve basit paket kuralları için bir durum bilgisiz motor hem de bağlantıları izleyen ve daha derin inceleme yapan bir durum bilgili motor bulunur. Durum bilgisiz kurallar trafiği hızla geçirebilir veya bırakabilir; durum bilgili kurallar ise gelişmiş algılama için Suricata uyumlu imzaları uygular.

Network Firewall'u, ayrılmış alt ağlarda güvenlik duvarı uç noktaları oluşturarak ve rota tablosu değişiklikleriyle trafiği bunlar üzerinden yönlendirerek dağıtırsınız. Yaygın bir tasarımda her Kullanılabilirlik Alanı için ayrı bir güvenlik duvarı alt ağı kullanılır ve VPC trafiği internete veya diğer alt ağlara ulaşmadan önce uç noktadan geçirilir.

Network Firewall; transit gateway kullanılarak merkezi inceleme veya VPC başına inceleme gibi desenlere uyar. Spoke VPC'lerden gelen trafik, güvenlik duvarını çalıştıran merkezi bir inceleme VPC'si üzerinden yönlendirilebilir. Böylece tek bir ilke birçok VPC'yi korur ve büyük ölçekte yönetişimi basitleştirir.

Yönetilen bir hizmet olarak Network Firewall, ölçeklendirme, yama uygulama ve kullanılabilirlik işlemlerini sizin için yönetir. Uç noktaları birden çok Kullanılabilirlik Alanına dağıtmak, güvenlik duvarı cihazlarını kendiniz çalıştırıp sürdürmenize gerek kalmadan dayanıklı ve yüksek kullanılabilirlikli inceleme sağlar.

Bir güvenlik duvarı politikası, güvenlik duvarının uyguladığı durumsuz ve durum bilgili kural gruplarını, varsayılan eylemleri ve davranışı tanımlar. Bir politika birden fazla güvenlik duvarıyla ilişkilendirilebilir; böylece inceleme kurallarınız, bir WAF web ACL'sinin web kurallarını merkezileştirmesine benzer şekilde merkezileştirilir.

Önemli bir kullanım alanı egress (giden) filtrelemedir: iş yüklerinizin hangi harici etki alanlarına ve hedeflere erişebileceğini denetlemek. Bu, kötü amaçlı yazılımların kendi sunucularıyla iletişim kurmasını durdurur, onaylanmamış sitelere veri sızdırılmasını engeller ve güvenlik gruplarının etki alanına göre yapamadığı, izin verilen hedefler için izin listelerini uygular.

Network Firewall, CloudWatch Logs, S3 veya Kinesis Firehose'a gönderebileceğiniz uyarı ve akış günlükleri üretir. Uyarı günlükleri, durum bilgili kuralları tetikleyen trafiği kaydeder; akış günlükleri bağlantı üst verilerini kaydeder. Bunlar algılama ve inceleme araçlarınızı besler ve incelenen trafik için bir denetim izi sağlar.

Network Firewall, EC2 üzerinde üçüncü taraf güvenlik duvarı gereçleri çalıştırmaya yönelik AWS yerel alternatifidir. Örneklerin boyutlandırılması, yamalanması ve ölçeklendirilmesi yükünü ortadan kaldırırken VPC yönlendirmesi ve merkezi, kuruluş genelindeki dağıtım için Firewall Manager ile bütünleşir.

Güvenlik grupları ve NACL'lerin sunduklarının ötesinde VPC genelinde izinsiz giriş önleme, etki alanı tabanlı egress denetimi veya merkezi inceleme gerektiğinde Network Firewall kullanın. WAF (web istekleri) ve Shield'ı (DDoS) tamamlayarak savunma yığınınızdaki derin ağ inceleme katmanını sağlar.

Doğru aracı belirleyin.

AWS Network Firewall, Katman 3/4'ün ötesinde derin paket incelemesi sunan, yönetilen, VPC genelinde çalışan durum bilgili bir güvenlik duvarı ve IPS'tir. Durumsuz ve durum bilgili motorlar çalıştırır, rota değişiklikleriyle ayrılmış alt ağlardaki güvenlik duvarı uç noktaları üzerinden dağıtılır ve aktarım ağ geçitleri aracılığıyla merkezi incelemeyi destekler. Temel kullanım alanları, uyarı ve akış günlükleriyle birlikte etki alanı tabanlı egress filtreleme ve izinsiz giriş önlemedir.