r1.4 Inspección de tráfico con AWS Network Firewall en el perímetro del CDE

Añade inspección profunda de paquetes con estado en el límite del CDE con AWS Network Firewall, yendo más allá de lo que security groups y NACLs pueden expresar (reglas de FQDN y firmas).

1. Despliega AWS Network Firewall en subredes de inspección dedicadas en la VPC y actualiza las tablas de rutas para que la salida de las subredes del CDE pase por los endpoints del firewall.
   Subredes de inspección (en la VPC) Network Firewall Amazon VPC
2. Crea una política con listas de permitidos por FQDN para los destinos que el CDE necesita legítimamente, más firmas de amenazas Suricata y reglas anti-spoofing.
   Ruta de salida del CDE Network Firewall
3. Envía los logs de alerta y de flujo del firewall a CloudWatch Logs o S3 para conservar el tráfico permitido y bloqueado como evidencia.
   Registro de la cuenta Network Firewall CloudWatch Amazon S3

Cómo validar: Las tablas de rutas muestran la salida del CDE atravesando el firewall, y los logs del firewall muestran tráfico a FQDN no permitidos siendo descartado.

Evita: Desplegar el firewall pero no cambiar las tablas de rutas, de modo que el tráfico lo evita. La inspección solo funciona si el enrutamiento fuerza cada flujo por los endpoints del firewall.