r1.4 Inspeção de tráfego com o AWS Network Firewall no perímetro do CDE

Adicione inspeção profunda de pacotes com estado no limite do CDE com o AWS Network Firewall, indo além do que security groups e NACLs conseguem expressar (regras de FQDN e assinaturas).

1. Implante o AWS Network Firewall em sub-redes de inspeção dedicadas na VPC e atualize as tabelas de rotas para que a saída das sub-redes do CDE passe pelos endpoints do firewall.
   Sub-redes de inspeção (na VPC) Network Firewall Amazon VPC
2. Crie uma política com listas de permitidos por FQDN para os destinos de que o CDE precisa legitimamente, além de assinaturas de ameaças Suricata e regras anti-spoofing.
   Rota de saída do CDE Network Firewall
3. Envie os logs de alerta e de fluxo do firewall para o CloudWatch Logs ou S3 para conservar o tráfego permitido e bloqueado como evidência.
   Registro da conta Network Firewall CloudWatch Amazon S3

Como validar: As tabelas de rotas mostram a saída do CDE atravessando o firewall, e os logs do firewall mostram tráfego para FQDNs não permitidos sendo descartado.

Evite: Implantar o firewall mas não alterar as tabelas de rotas, de modo que o tráfego o contorna. A inspeção só funciona se o roteamento forçar cada fluxo pelos endpoints do firewall.