AWS Network Firewall

cloud

Définition

AWS Network Firewall est un service de pare-feu réseau managé permettant de déployer une inspection de trafic stateful et stateless directement au niveau d'un VPC Amazon, sans gérer d'infrastructure de pare-feu dédiée. Il repose sur le moteur open source Suricata pour l'inspection approfondie des paquets et la détection d'intrusion, ce qui permet d'importer directement des règles Suricata existantes ou des flux de règles de threat intelligence tiers au format compatible. Le service offre trois capacités principales : le filtrage stateful par règles à cinq tuples ou par domaine DNS, le filtrage stateless pour un premier tri à faible latence, et l'inspection TLS via déchiffrement optionnel pour analyser le trafic chiffré sortant. Il s'intègre nativement avec AWS Firewall Manager pour appliquer des politiques centralisées à travers plusieurs comptes et VPC dans une organisation AWS Organizations, et journalise l'activité vers CloudWatch Logs, S3 ou Kinesis Data Firehose pour l'analyse SIEM. Contrairement aux security groups et NACL natifs limités au filtrage par ports et adresses IP, AWS Network Firewall permet un contrôle applicatif plus fin, notamment pour bloquer l'exfiltration vers des domaines de commande et contrôle connus. Il est fréquemment déployé en bordure de VPC via un modèle hub-and-spoke avec AWS Transit Gateway.

Description

AWS Network Firewall est un service de firewall réseau managé, déployable au sein d'un VPC, offrant inspection stateful du trafic, filtrage de domaines DNS et prévention des intrusions (IPS) basée sur des règles compatibles Suricata.

Contexte cloud

Déployé dans un sous-réseau dédié (firewall subnet), il inspecte le trafic via des modifications de table de routage VPC. Les règles stateless gèrent le trafic volumétrique, les règles stateful permettent l'inspection applicative. Peut bloquer les domaines C2 via des listes de domaines gérées par AWS.

Points clés

Architecture hub-and-spoke : centraliser Network Firewall dans un VPC d'inspection via AWS Transit Gateway
Règle Suricata : alert http $HOME_NET any -> $EXTERNAL_NET any (msg:"Crypto mining pool"; content:"stratum+tcp"; sid:1000001;)
Logs de flux vers S3 ou CloudWatch pour analyse Athena ou intégration SIEM

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis