Come posso configurare le regole di Firewall di rete per bloccare o consentire domini specifici?

Breve descrizione

Firewall di rete AWS utilizza l'ordine di operazione o l'ordine di valutazione rigoroso per supportare il filtraggio basato sul dominio per il traffico web in uscita. Per configurare le regole, utilizza un gruppo di regole dell'elenco di domini stateful o stringhe compatibili con Suricata. L'ispezione del dominio funziona con i protocolli HTTP e HTTPS.

Per HTTP, il firewall controlla l'intestazione dell'host. Per HTTPS, il firewall utilizza l'indicazione del nome del server (SNI) nell'handshake TLS. Quando utilizzi un elenco di domini consentiti, Firewall di rete invia il traffico solo ai domini specificati ed elimina tutte le altre richieste.

Comprendere le operazioni dei gruppi di regole dell'elenco di domini

Evita di combinare i gruppi di regole dell'elenco di domini Reject (Rifiuta) o Alert (Avviso) con i gruppi di regole dell'elenco di domini Allow (Consenti) in una policy del firewall che utilizza l'ordine di operazione predefinito. La regola di eliminazione predefinita aggiunta dal gruppo di regole Allow (Consenti) ha effetto prima delle regole Reject (Rifuta) e Alert (Avviso).

Per ulteriori informazioni, consulta Suricata compatible rule strings in AWS Network Firewall (Stringhe di regole compatibili con Suricata in Firewall di rete AWS) e Stateful domain list rule groups in AWS Network Firewall (Gruppi di regole dell'elenco di domini stateful in Firewall di rete AWS).

Risoluzione

Configura un gruppo di elenco di domini per una policy con ordine di operazione predefinito

Completa i seguenti passaggi:

1. Crea un firewall.
2. Apri la console Amazon VPC.
3. Nel pannello di navigazione, in Network Firewall (Firewall di rete), scegli Network Firewall rule groups (Gruppi di regole del Firewall di rete).
4. Scegli Create rule group (Crea gruppo di regole), quindi Stateful rule group (Gruppo di regole stateful) come tipo di gruppo di regole.
5. Per Stateful rule group format (Formato del gruppo di regole stateful), scegli Domain list (Elenco di domini).
   Nota: non puoi modificare l'ordine delle regole stateful perché è ereditato dalla policy. Rule order (Ordine delle regole) appare come Action order (Ordine di operazione).
6. Inserisci un nome univoco per il gruppo di regole.
7. Per Capacity reservation (Prenotazione della capacità), inserisci un numero stimato di domini da includere nell'elenco.
   Nota: dopo aver creato il gruppo di regole, non puoi modificare il valore.
8. In Domain list (Elenco di domini), per Domain name source (Origine del nome di dominio), inserisci i nomi di dominio che desideri abbinare. Puoi definire i domini come corrispondenza esatta, ad esempio abc.esempio.com. Oppure puoi definirli come corrispondenza parziale, ad esempio .esempio.com.
9. Per CIDR ranges (Intervalli CIDR), scegli una delle seguenti opzioni:
   Per Default (Predefinito), scegli questa opzione quando l'indirizzo IP di origine esiste nello stesso VPC del firewall.
   Per Custom (Personalizzato), scegli questa opzione quando l'indirizzo IP di origine esiste in un VPC remoto. Inserisci le sottoreti di origine che desideri che il firewall controlli in Source IP CIDR ranges (Intervalli CIDR IP di fonte).
10. Per Protocols (Protocolli), scegli HTTP and HTTPS (HTTP e HTTPS).
11. Per Action (Operazione), scegli Allow (Consenti).
12. (Facoltativo) Configura Advanced settings (Impostazioni avanzate) e tag.
13. Scegli Create rule group (Crea gruppo di regole).
14. Nel pannello di navigazione, in Network Firewall (Firewall di rete), scegli Firewall policies (Policy del firewall).
15. Seleziona la policy dell'ordine di operazione esistente.
16. Conferma che l'operazione predefinita è impostata su Pass (Lascia passare).
17. In Stateful rule groups (Gruppi di regole stateful), scegli Actions (Operazioni), quindi seleziona Add unmanaged stateful rule groups (Aggiungi gruppi di regole con stato non gestiti).
18. Seleziona il gruppo di regole che hai creato nel passaggio 13.

Definisci una regola IPS compatibile con Suricata per una policy con valutazione dell'ordine di operazione

Completa i seguenti passaggi:

1. Crea un firewall.
2. Apri la console Amazon VPC.
3. Nel pannello di navigazione, in Network Firewall (Firewall di rete), scegli Network Firewall rule groups (Gruppi di regole del Firewall di rete).
4. Scegli Create rule group (Crea gruppo di regole), quindi Stateful rule group (Gruppo di regole stateful) come tipo di gruppo di regole.
5. Per Stateful rule group format (Formato del gruppo di regole stateful), scegli Suricata Compatible rule string (Stringa di regole compatibile con Suricata).
   Nota: non puoi modificare l'ordine delle regole stateful perché è ereditato dalla policy. Rule order (Ordine delle regole) appare come Action order (Ordine di operazione).
6. Inserisci un nome univoco per il gruppo di regole.
7. Per Capacity reservation (Prenotazione della capacità), inserisci un numero stimato di domini da includere nell'elenco.
   Nota: dopo aver creato il gruppo di regole, non puoi modificare il valore.
8. (Facoltativo) Definisci le variabili delle regole personalizzate da utilizzare nelle firme Suricata.
9. (Facoltativo) Definisci i riferimenti dei set IP da utilizzare nelle firme Suricata.
10. In Suricata compatible rule string (Stringa di regole compatibile con Suricata), inserisci le seguenti regole:

pass http $HOME_NET any -> $EXTERNAL_NET any (http.host; dotprefix; content:".amazonaws.com"; endswith; msg:"matching HTTP allowlisted FQDNs"; flow:to_server, established; sid:1; rev:1;)
pass http $HOME_NET any -> $EXTERNAL_NET any (http.host; content:"example.com"; startswith; endswith; msg:"matching HTTP allowlisted FQDNs"; flow:to_server, established; sid:2; rev:1;)
pass tls $HOME_NET any -> $EXTERNAL_NET any (tls.sni; dotprefix; content:".amazonaws.com"; nocase; endswith; msg:"matching TLS allowlisted FQDNs"; flow:to_server, established; sid:3; rev:1;)
pass tls $HOME_NET any -> $EXTERNAL_NET any (tls.sni; content:"example.com"; startswith; nocase; endswith; msg:"matching TLS allowlisted FQDNs"; flow:to_server, established; sid:4; rev:1;)
drop http $HOME_NET any -> $EXTERNAL_NET any (http.header_names; content:"|0d 0a|"; startswith; msg:"not matching any HTTP allowlisted FQDNs"; flow:to_server, established; sid:5; rev:1;)
drop tls $HOME_NET any -> $EXTERNAL_NET any (msg:"not matching any TLS allowlisted FQDNs"; flow:to_server, established; sid:6; rev:1;)

Nota: nelle regole precedenti, sostituisci i domini con i domini che desideri includere. 11. (Facoltativo) Configura Advanced settings (Impostazioni avanzate) e tag. 12. Scegli Create rule group (Crea gruppo di regole). 13. Nel pannello di navigazione, in Network Firewall (Firewall di rete), scegli Firewall policies (Policy del firewall). 14. Seleziona la policy dell'ordine di operazione esistente. 15. Conferma che l'operazione predefinita è impostata su Pass (Lascia passare). 16. In Stateful rule groups (Gruppi di regole stateful), scegli Actions (Operazioni), quindi seleziona Add unmanaged stateful rule groups (Aggiungi gruppi di regole con stato non gestiti). 17. Seleziona il gruppo di regole che hai creato nel passaggio 12.

Nota: le regole di dominio includono la parola chiave flusso stabilito, che tuttavia potrebbe non tenere conto di tutti i casi edge di scambio di pacchetti fuori flusso. Prima di utilizzare qualsiasi esempio di elenco di regole, testa la regola per verificare che funzioni come previsto.

Configura un gruppo di regole dell'elenco di domini per una policy con ordine di valutazione rigoroso

Completa i seguenti passaggi:

1. Crea un firewall.
2. Apri la console Amazon VPC.
3. Nel pannello di navigazione, in Network Firewall (Firewall di rete), scegli Network Firewall rule groups (Gruppi di regole del Firewall di rete).
4. Scegli Create rule group (Crea gruppo di regole), quindi Stateful rule group (Gruppo di regole stateful) come tipo di gruppo di regole.
5. Per Stateful rule group format (Formato del gruppo di regole stateful), scegli Domain list (Elenco di domini).
   Nota: non puoi modificare l'ordine delle regole stateful perché è ereditato dalla policy. Rule order (Ordine delle regole) appare come Strict (Strict).
6. Inserisci un nome univoco per il gruppo di regole.
7. Per Capacity reservation (Prenotazione della capacità), inserisci un numero stimato di domini da includere nell'elenco.
   Nota: dopo aver creato il gruppo di regole, non puoi modificare il valore.
8. In Domain list (Elenco di domini), per Domain name source (Origine del nome di dominio), inserisci i nomi di dominio che desideri abbinare. Puoi definire i domini come corrispondenza esatta, ad esempio abc.esempio.com. Oppure puoi definirli come corrispondenza parziale, ad esempio .esempio.com.
9. Per CIDR ranges (Intervalli CIDR), scegli una delle seguenti opzioni:
   Per Default (Predefinito), scegli questa opzione quando l'indirizzo IP di origine esiste nello stesso VPC del firewall.
   Per Custom (Personalizzato), scegli questa opzione quando l'indirizzo IP di origine esiste in un VPC remoto. Inserisci le sottoreti di origine che desideri che il firewall controlli in Source IP CIDR ranges (Intervalli CIDR IP di fonte).
10. Per Protocols (Protocolli), scegli HTTP and HTTPS (HTTP e HTTPS).
11. Per Action (Operazione), scegli Allow (Consenti).
12. Scegli Create rule group (Crea gruppo di regole).
13. Nel pannello di navigazione, in Network Firewall (Firewall di rete), scegli Firewall policies (Policy del firewall).
14. Seleziona la policy degli ordini rigorosa esistente.
15. Per Stateful rule evaluation order and default actions (Ordine di valutazione delle regole stateful e operazioni predefinite), scegli Edit (Modifica).
16. Per Default actions (Operazioni predefinite), scegli Drop established (Rilascio stabilito).
17. Scegli Save (Salva).

Definisci una regola IPS compatibile con Suricata per una policy con ordine di valutazione rigoroso

Completa i seguenti passaggi:

1. Crea un firewall.
2. Apri la console Amazon VPC.
3. Nel pannello di navigazione, in Network Firewall (Firewall di rete), scegli Network Firewall rule groups (Gruppi di regole del Firewall di rete).
4. Scegli Create rule group (Crea gruppo di regole), quindi Stateful rule group (Gruppo di regole stateful) come tipo di gruppo di regole.
5. Per Stateful rule group format (Formato del gruppo di regole stateful), scegli Suricata Compatible rule string (Stringa di regole compatibile con Suricata).
   Nota: non puoi modificare l'ordine delle regole stateful perché è ereditato dalla policy. Rule order (Ordine delle regole) appare come Strict (Strict).
6. Inserisci un nome univoco per il gruppo di regole.
7. Per Capacity reservation (Prenotazione della capacità), inserisci un numero stimato di domini da includere nell'elenco.
   Nota: dopo aver creato il gruppo di regole, non puoi modificare il valore.
8. (Facoltativo) Definisci le variabili delle regole personalizzate da utilizzare nelle firme Suricata che definisci.
9. (Facoltativo) Definisci i riferimenti dei set IP da utilizzare nelle firme Suricata che definisci.
10. In Suricata compatible rule string (Stringa di regole compatibile con Suricata), inserisci le seguenti regole:

pass http $HOME_NET any -> $EXTERNAL_NET any (http.host; dotprefix; content:".amazonaws.com"; endswith; msg:"matching HTTP allowlisted FQDNs"; flow:to_server, established; sid:1; rev:1;)
pass http $HOME_NET any -> $EXTERNAL_NET any (http.host; content:"example.com"; startswith; endswith; msg:"matching HTTP allowlisted FQDNs"; flow:to_server, established; sid:2; rev:1;)
pass tls $HOME_NET any -> $EXTERNAL_NET any (tls.sni; dotprefix; content:".amazonaws.com"; nocase; endswith; msg:"matching TLS allowlisted FQDNs"; flow:to_server, established; sid:3; rev:1;)
pass tls $HOME_NET any -> $EXTERNAL_NET any (tls.sni; content:"example.com"; startswith; nocase; endswith; msg:"matching TLS allowlisted FQDNs"; flow:to_server, established; sid:4; rev:1;)

Nota: nelle regole precedenti, sostituisci i domini con i domini che desideri includere. 11. (Facoltativo) Configura Advanced settings (Impostazioni avanzate) e tag. 12. Scegli Create rule group (Crea gruppo di regole). 13. Nel pannello di navigazione, in Network Firewall (Firewall di rete), scegli Firewall policies (Policy del firewall). 14. Seleziona la policy degli ordini rigorosa. 15. Per Stateful rule evaluation order and default actions (Ordine di valutazione delle regole stateful e operazioni predefinite), scegli Edit (Modifica). 16. Per Default actions (Operazioni predefinite), scegli Drop established (Rilascio stabilito). 17. Scegli Save (Salva).

Nota: le regole di dominio includono la parola chiave flusso stabilito. Questa parola chiave potrebbe non comprendere tutti i casi edge in cui i pacchetti vengono scambiati al di fuori dei normali flussi di connessione. Prima di utilizzare qualsiasi esempio di elenco di regole, testa la regola per verificare che funzioni come previsto.

Verifica le configurazioni

Per verificare che le configurazioni funzionino, esegui comandi curl sui domini specificati.

Il seguente esempio di comando verifica l'accesso HTTPS al dominio https://example.com:

curl -v --silent https://example.com --stderr - | grep 200

Se l'accesso è consentito, ottieni il seguente risultato:

< HTTP/2 200

Il seguente esempio di comando verifica l'accesso HTTP a https://www.google.com:

curl -v http://www.google.com

Il seguente output di esempio mostra che le regole del firewall bloccano il traffico HTTP perché la connessione si interrompe alla richiesta GET:

* Trying [IP_ADDRESS]...
* Connected to www.google.com ([IP_ADDRESS]) port 80 (#0)
> GET / HTTP/1.1
> Host: www.google.com
> User-Agent: curl/7.79.1
> Accept: */*

Il seguente esempio di comando verifica l'accesso HTTPS a https://www.google.com:

curl -v https://www.google.com

Il seguente output di esempio mostra che il traffico HTTPS è bloccato perché la connessione si interrompe durante l'handshake TLS:

* Trying [IP_ADDRESS]...
* Connected to www.google.com ([IP_ADDRESS]) port 443 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* TLSv1.2 (OUT), TLS header, Certificate Status (22):
* TLSv1.2 (OUT), TLS handshake, Client hello (1):

Informazioni correlate

Firewall policies in AWS Network Firewall (Policy dei firewall in Firewall di rete AWS)

Creating a stateful rule group (Creazione di un gruppo di regole stateful)

Examples of stateful rules for AWS Network Firewall (Esempi di regole stateful per Firewall di rete AWS)

Stateful domain list rule groups in AWS Network Firewall (Gruppi di regole dell'elenco di domini stateful in Firewall di rete AWS)

Suricata compatible rule strings in AWS Network Firewall (Stringhe di regole compatibili con Suricata in Firewall di rete AWS)