Pare-feu réseau centralisé

Déployez AWS Network Firewall dans le VPC du pare-feu. Ce VPC joue un rôle crucial en hébergeant le pare-feu qui inspecte le trafic se déplaçant de la source vers la destination et le trafic en provenance d'Internet.

Groupe de règles de pare-feu

Définissez des règles personnalisées ou utilisez les règles existantes AWS Managed Rules pour surveiller et gérer le trafic qui circule du pare-feu VPC vers Internet, et d'Internet vers le VPC. En fonction de vos besoins, créez des règles avec ou sans état :

• Règles dynamiques — La direction du flux de trafic et les autres approbations de trafic liées au paquet sont prises en compte lors de l'inspection des paquets.

  Ce groupe de règles est conforme aux exigences du système de prévention des intrusions (IPS) compatible avec Suricata. Pour plus d'informations, consultez la documentation de Network Firewall.

  Network Firewall prend également en charge le filtrage du trafic de domaine. Le trafic vers les domaines spécifiques répertoriés sera surveillé à l'aide de règles définies sur la base d'attributs réseau standard pour contrôler le flux de trafic.

• Règles apatrides — Le moteur de règles apatrides du Network Firewall analyse chaque paquet séparément pour détecter les groupes de règles apatrides. Les pare-feux pour réseaux ne tiennent pas compte du contexte tel que la direction du trafic ou d'autres paquets pertinents.

• AWS Managed Rules groupes de règles — Lorsque vous utilisez Network Firewall, vous avez accès aux groupes de AWS Managed Rules règles. Ces ensembles de règles prédéfinies et utilisables garantissent la up-to-date sécurité. AWS met à jour les groupes de règles en fonction de toute nouvelle vulnérabilité ou menace découverte.

Stratégie de pare-feu

Créez la politique de pare-feu, qui définit le comportement de surveillance et de protection du pare-feu en fonction des règles que vous associez à la stratégie de pare-feu. Ces règles peuvent être des règles gérées fournies par AWS ou des règles statiques ou apatrides personnalisées que vous avez créées.

Pare-feu

Dans le VPC du pare-feu, créez le pare-feu en utilisant la politique de pare-feu que vous avez définie. Sélectionnez les trois sous-réseaux dédiés au pare-feu (et non les sous-réseaux de la passerelle de transit). Une fois le pare-feu créé, notez les points de terminaison VPC créés par Network Firewall.

Configurez la destination du sous-réseau de la passerelle de transit VPC du pare-feu 0.0.0.0/0 pour acheminer le trafic vers ces points de terminaison. Lors de la configuration des points de terminaison, assurez-vous que chaque sous-réseau de passerelle de transit correspond au sous-réseau de point de terminaison de pare-feu correspondant. Un mappage de sous-réseau approprié permet de garantir la haute disponibilité du routage et de l'inspection du trafic.

Journalisation du pare-feu

Pour aider à analyser le trafic bloqué par le pare-feu réseau, activez la journalisation du pare-feu. En plus d'identifier les activités non autorisées, la journalisation du pare-feu peut vous aider à analyser les autres activités qui se produisent à l'intérieur et à l'extérieur du VPC.