Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Pare-feu de sortie Palo Alto géré

AMS fournit une solution de pare-feu de sortie gérée à Palo Alto, qui permet de filtrer le trafic sortant vers Internet pour tous les réseaux de l'environnement multicomptes Landing Zone (à l'exception des services destinés au public). Cette solution associe une technologie de pare-feu de pointe (Palo Alto VM-300) aux capacités de gestion de l'infrastructure d'AMS pour déployer, surveiller, gérer, dimensionner et restaurer l'infrastructure dans des environnements d'exploitation conformes. Les tiers, y compris Palo Alto Networks, n'ont pas accès aux pare-feux ; ils sont gérés uniquement par les ingénieurs d'AMS.

Contrôle du trafic

La solution de pare-feu sortant géré gère une liste d'autorisations de domaines composée des domaines requis par AMS pour des services tels que les sauvegardes et les correctifs, ainsi que des domaines que vous avez définis. Lorsque le trafic Internet sortant est acheminé vers le pare-feu, une session est ouverte, le trafic est évalué et, s'il correspond à un domaine autorisé, le trafic est transféré vers la destination.

Architecture

La solution de pare-feu de sortie géré suit un modèle de haute disponibilité, dans lequel deux à trois pare-feux sont déployés en fonction du nombre de zones de disponibilité (). AZs La solution utilise une partie de l'espace IP du VPC de sortie par défaut, mais fournit également une extension VPC (/24) pour les ressources supplémentaires nécessaires à la gestion des pare-feux.

Flux réseau

À un niveau élevé, le routage du trafic de sortie public reste le même, à l'exception de la manière dont le trafic est acheminé vers Internet depuis le VPC de sortie :

Les pare-feux eux-mêmes contiennent trois interfaces :

Tout au long du routage, le trafic est maintenu dans la même zone de disponibilité (AZ) afin de réduire le trafic inter-AZ. Le trafic ne se croise qu'en AZs cas de basculement.

Modification de la liste d'autorisations

Après l'intégration, une liste d'autorisation par défaut nommée ams-allowlist est créée, contenant les points de terminaison publics requis par AMS ainsi que les points de terminaison publics pour appliquer des correctifs aux hôtes Windows et Linux. Une fois opérationnel, vous pouvez créer des RFC dans la console AMS sous la catégorie Management | Managed Firewall | Outbound (Palo Alto) pour créer ou supprimer des listes d'autorisation, ou modifier les domaines. Sachez que cela ams-allowlist ne peut pas être modifié. Les RFC sont gérées de manière entièrement automatisée (elles ne sont pas manuelles).

Politique de sécurité personnalisée

Les politiques de sécurité déterminent s'il faut bloquer ou autoriser une session en fonction des attributs du trafic, tels que la zone de sécurité source et de destination, l'adresse IP source et de destination et le service. Les politiques de sécurité personnalisées sont prises en charge de manière entièrement automatisée RFCs. CTs pour créer ou supprimer une politique de sécurité se trouve dans la catégorie Gestion | Pare-feu géré | Outbound (Palo Alto), et le CT permettant de modifier une politique de sécurité existante se trouve dans la catégorie Déploiement | Pare-feu géré | Outbound (Palo Alto). Vous serez en mesure de créer de nouvelles politiques de sécurité, de modifier les politiques de sécurité ou de supprimer des politiques de sécurité.

CloudWatch Tableaux de bord de sortie PA

Deux tableaux de bord fournissent une vue agrégée de Palo Alto (PA). Le tableau de bord AMS-MF-PA-egress-config-dashboard fournit un aperçu de la configuration PA, des liens vers des listes d'autorisation et une liste de toutes les politiques de sécurité, y compris leurs attributs. CloudWatch Le tableau de bord AMS-MF-PA-Egress-Dashboard peut être personnalisé pour filtrer les journaux de trafic. Par exemple, pour créer un tableau de bord pour une politique de sécurité, vous pouvez créer une RFC avec un filtre tel que :

fields @timestamp, @message
| filter @logStream like /pa-traffic-logs/
| filter @message like /<Security Policy Name>/
| parse @message "*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*," as x1, @x2, @x3, @x4, @type, @x6, @x7, @source_ip, @destination_ip, @source_nat_ip, @dest_nat_ip, @rule, @x13, @x14, @application, @x16, @from_zone, @to_zone, @x19, @x20, @x21, @x22, @session_id, @x24, @source_port, @destination_port, @source_nat_port, @destination_nat_port, @x29, @protocol, @action, @bytes, @bytes_sent, @bytes_recieved, @packets, @x36, @x37, @category, @x39, @x40, @x41, @source_country, @destination_country, @x44, @packets_sent, @packets_recieved, @session_end_reason, @x48, @x49, @x50
| display @timestamp, @rule, @action, @session_end_reason, @protocol, @source_ip, @destination_ip, @source_port, @destination_port, @session_id, @from_zone, @to_zone, @category, @bytes_sent, @bytes_recieved, @packets_sent, @packets_recieved, @source_country, @destination_country

Modèle Failover

La solution de pare-feu inclut deux à trois hôtes Palo Alto (PA) (un par AZ). Les canaris Healthy Check suivent un horaire constant pour évaluer l'état de santé des hôtes. Si un hôte est identifié comme défaillant, AMS en est averti et le trafic correspondant à cette zone est automatiquement transféré vers un hôte sain situé dans une autre zone de disponibilité via une modification de la table de routage. Étant donné que le flux de travail de vérification de l'état s'exécute en permanence, si l'hôte redevient sain en raison de problèmes transitoires ou d'une correction manuelle, le trafic est redirigé vers la bonne zone de disponibilité avec l'hôte sain.

Dimensionnement

AMS surveille le pare-feu pour vérifier les limites de débit et d'évolutivité. Lorsque les limites de débit dépassent les seuils de filigrane inférieurs (CPU/réseau), AMS reçoit une alerte. Un seuil bas indique que les ressources approchent de la saturation, atteignant un point où AMS évaluera les indicateurs au fil du temps et proposera des solutions de mise à l'échelle.

Sauvegarde et restauration

Les sauvegardes sont créées lors du lancement initial, après toute modification de configuration et à intervalles réguliers. Les sauvegardes de lancement initiales sont créées par hôte, mais les modifications de configuration et les sauvegardes à intervalles réguliers sont effectuées sur tous les hôtes du pare-feu lorsque le flux de travail de sauvegarde est invoqué. Les ingénieurs d'AMS peuvent créer des sauvegardes supplémentaires en dehors de ces fenêtres ou fournir des informations de sauvegarde sur demande.

Les ingénieurs d'AMS peuvent effectuer la restauration des sauvegardes de configuration si nécessaire. Si une restauration est requise, elle aura lieu sur tous les hôtes afin de synchroniser la configuration entre les hôtes.

La restauration peut également avoir lieu lorsqu'un hôte a besoin du recyclage complet d'une instance. Une restauration automatique de la dernière sauvegarde a lieu lorsqu'une nouvelle EC2 instance est provisionnée. En général, les hôtes ne sont pas recyclés régulièrement et sont réservés en cas de panne grave ou de remplacement d'AMI requis. Les recyclages de l'hôte sont lancés manuellement et vous êtes averti avant qu'un recyclage ne soit effectué.

Outre les sauvegardes de configuration du pare-feu, vos règles de liste d'autorisation spécifiques sont sauvegardées séparément. Une sauvegarde est automatiquement créée lorsque les règles de liste d'autorisation que vous avez définies sont modifiées. La restauration de la sauvegarde de la liste d'autorisation peut être effectuée par un ingénieur AMS, si nécessaire.

Mises à jour

La solution AMS Managed Firewall nécessite plusieurs mises à jour au fil du temps pour apporter des améliorations au système, des fonctionnalités supplémentaires ou des mises à jour du système d'exploitation (OS) ou du logiciel du pare-feu.

La plupart des modifications n'affecteront pas l'environnement d'exécution, comme la mise à jour de l'infrastructure d'automatisation, mais d'autres modifications, telles que la rotation des instances de pare-feu ou la mise à jour du système d'exploitation, peuvent provoquer des perturbations. Lorsqu'une interruption de service potentielle due à des mises à jour est évaluée, AMS coordonnera ses efforts avec vous pour tenir compte des périodes de maintenance.

Accès de l'opérateur

Les opérateurs AMS utilisent leurs ActiveDirectory informations d'identification pour se connecter à l'appareil Palo Alto afin d'effectuer des opérations (par exemple, appliquer des correctifs, répondre à un événement, etc.). La solution conserve les journaux standard d'authentification des opérateurs AMS et de modification de configuration pour suivre les actions effectuées sur les hôtes Palo Alto.

Journaux par défaut

Par défaut, les journaux générés par le pare-feu résident dans le stockage local de chaque pare-feu. Au fil du temps, les journaux locaux seront supprimés en fonction de l'utilisation du stockage. La solution AMS permet l'envoi en temps réel des journaux des machines vers CloudWatch les journaux ; pour plus d'informations, voirCloudWatch Intégration des journaux.

Les ingénieurs d'AMS ont toujours la possibilité d'interroger et d'exporter les journaux directement depuis les machines si nécessaire. En outre, les journaux peuvent être expédiés vers un Panorama appartenant au client ; pour plus d'informations, voir. Intégration du Panorama

Les journaux collectés par la solution sont les suivants :

Gestion d'événements

AMS surveille en permanence la capacité, l'état de santé et la disponibilité du pare-feu. Les métriques générées par le pare-feu, ainsi que les métriques AWS/AMS générées, sont utilisées pour créer des alarmes qui sont reçues par les ingénieurs d'exploitation d'AMS, qui étudieront et résoudront le problème. Les alarmes actuelles concernent les cas suivants :

Alarmes liées aux événements :

Alarmes de gestion :

Métriques

Toutes les mesures sont capturées et stockées CloudWatch dans le compte réseau. Vous pouvez les consulter en accédant à la console au compte réseau et en accédant à la CloudWatch console. Les mesures individuelles peuvent être consultées sous l'onglet des métriques ou un tableau de bord à volet unique contenant certaines mesures et les métriques agrégées peuvent être consultées en accédant à l'onglet Tableau de bord et en sélectionnant AMS-MF-PA-Egress-Dashboard.

Métriques personnalisées :

CloudWatch Intégration des journaux

CloudWatch L'intégration des journaux transfère les journaux des pare-feux vers les CloudWatch journaux, ce qui réduit le risque de perte de journaux en raison de l'utilisation du stockage local. Les journaux sont remplis en temps réel au fur et à mesure que les pare-feux les génèrent et peuvent être consultés à la demande via la console ou l'API.

Des requêtes complexes peuvent être créées pour l'analyse des journaux ou exportées au format CSV à l'aide d' CloudWatch Insights. En outre, le tableau de CloudWatch bord personnalisé du pare-feu géré par AMS affichera également un aperçu rapide des requêtes spécifiques du journal de trafic et une visualisation graphique du trafic et des atteintes aux politiques au fil du temps. L'utilisation de CloudWatch journaux permet également une intégration native à d'autres services AWS tels qu'AWS Kinesis.

Intégration du Panorama

AMS Managed Firewall peut, en option, être intégré à votre Panorama existant. Cela vous permet de visualiser les configurations du pare-feu depuis Panorama ou de transférer les journaux du pare-feu vers le Panorama. L'intégration de Panorama à AMS Managed Firewall est en lecture seule et les modifications de configuration des pare-feux depuis Panorama ne sont pas autorisées. Panorama est entièrement géré et configuré par vous, AMS se chargera uniquement de configurer les pare-feux pour communiquer avec lui.

Licences

Le prix du pare-feu géré AMS dépend du type de licence utilisée (licence horaire ou licence BYOL) et de la taille de l'instance dans laquelle l'appliance s'exécute. Vous devez commander la taille des instances et les licences du pare-feu Palo Alto que vous préférez via AWS Marketplace.

Limites

À l'heure actuelle, AMS prend en charge les pare-feux des séries VM-300 ou VM-500. Les configurations peuvent être trouvées ici : Modèles de la série VM sur des instances AWS EC2 ,

Exigences relatives à l'intégration

Tarification

Les coûts d'infrastructure de base d'AMS Managed Firewall sont divisés en trois facteurs principaux : l' EC2 instance qui héberge le pare-feu Palo Alto, la licence logicielle, les licences de la série Palo Alto VM et les intégrations. CloudWatch

Les prix suivants sont basés sur le pare-feu de la gamme VM-300.