Firewall de rede centralizado

Implante AWS Network Firewall na VPC do firewall. Essa VPC desempenha um papel crucial ao hospedar o firewall que inspeciona o tráfego que se move da origem para o destino e o tráfego proveniente da Internet.

Grupo de regras de firewall

Defina regras personalizadas ou use as existentes AWS Managed Rules para monitorar e gerenciar o tráfego que flui do firewall VPC para a Internet e da Internet para a VPC. Com base em seus requisitos, crie regras com ou sem estado:

• Regras de estado — A direção do fluxo de tráfego e outras aprovações de tráfego relacionadas ao pacote são consideradas ao inspecionar pacotes.

  Esse grupo de regras segue os requisitos do sistema de prevenção de intrusões (IPS) compatível com Suricata. Para obter mais informações, consulte a documentação do Network Firewall.

  O Network Firewall também oferece suporte à filtragem de tráfego de domínio. O tráfego para os domínios específicos listados será monitorado usando regras definidas com base nos atributos de rede padrão para controlar o fluxo de tráfego.

• Regras sem estado — O mecanismo de regras sem estado do Network Firewall analisa cada pacote separadamente em busca de grupos de regras sem estado. Os firewalls para redes não levam em conta o contexto, como a direção do tráfego ou outros pacotes relevantes.

• AWS Managed Rules grupos de regras — Ao usar o Network Firewall, você obtém acesso aos grupos de AWS Managed Rules regras. Essas coleções de regras predefinidas e utilizáveis mantêm a up-to-date segurança. AWS atualiza os grupos de regras com base em quaisquer novas vulnerabilidades ou ameaças descobertas.

Política de firewall

Crie a política de firewall, que define o comportamento de monitoramento e proteção do firewall com base nas regras que você anexa à política de firewall. Essas regras podem ser regras gerenciadas fornecidas por AWS regras personalizadas com ou sem estado criadas por você.

Firewall

Na VPC do firewall, crie o firewall usando a política de firewall que você definiu. Selecione as três sub-redes dedicadas ao firewall (não às sub-redes do gateway de trânsito). Depois que o firewall for criado, anote os VPC endpoints criados pelo Network Firewall.

Configure o destino da sub-rede do gateway de trânsito VPC do firewall 0.0.0.0/0 para rotear o tráfego para esses endpoints. Ao configurar os endpoints, certifique-se de que cada sub-rede do Transit Gateway corresponda à sub-rede correspondente do endpoint do firewall. O mapeamento adequado da sub-rede ajuda a garantir a alta disponibilidade do roteamento e da inspeção do tráfego.

Registro de firewall

Para ajudar a analisar o tráfego bloqueado pelo firewall da rede, ative o registro do firewall. Além de identificar atividades não autorizadas, o registro do firewall pode ajudar você a analisar outras atividades que estão acontecendo dentro e fora da VPC.