기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Managed Palo Alto 송신 방화벽

AMS는 다중 계정 랜딩 존 환경(퍼블릭 서비스 제외)의 모든 네트워크에 대해 인터넷 바운드 아웃바운드 트래픽을 필터링할 수 있는 Managed Palo Alto 송신 방화벽 솔루션을 제공합니다. 이 솔루션은 업계 최고의 방화벽 기술(Palo Alto VM-300)과 AMS의 인프라 관리 기능을 결합하여 규정을 준수하는 운영 환경 내에서 인프라를 배포, 모니터링, 관리, 확장 및 복원합니다. Palo Alto Networks를 포함한 타사는 방화벽에 액세스할 수 없으며 AMS 엔지니어만 관리합니다.

트래픽 제어

관리형 아웃바운드 방화벽 솔루션은 백업 및 패치와 같은 서비스의 AMS 필수 도메인과 정의된 도메인으로 구성된 도메인 허용 목록을 관리합니다. 아웃바운드 인터넷 트래픽이 방화벽으로 라우팅되고, 세션이 열리고, 트래픽이 평가되고, 허용된 도메인과 일치하면 트래픽이 대상으로 전달됩니다.

아키텍처

관리형 송신 방화벽 솔루션은 가용 영역(AZs) 수에 따라 2~3개의 방화벽이 배포되는 고가용성 모델을 따릅니다. 이 솔루션은 기본 송신 VPC의 IP 공간 일부를 활용하지만 방화벽 관리에 필요한 추가 리소스에 대해 VPC 확장(/24)도 프로비저닝합니다.

네트워크 흐름

상위 수준에서 퍼블릭 송신 트래픽 라우팅은 송신 VPC에서 인터넷으로 트래픽이 라우팅되는 방식을 제외하고 동일하게 유지됩니다.

방화벽 자체에는 세 가지 인터페이스가 있습니다.

모든 라우팅에서 트래픽은 동일한 가용 영역(AZ) 내에서 유지되어 교차 AZ 트래픽을 줄입니다. 트래픽은 장애 조치가 발생할 때만 AZs를 통과합니다.

허용 목록 수정

온보딩 후 라는 기본 허용 목록이 생성ams-allowlist되며, 여기에는 AMS에 필요한 퍼블릭 엔드포인트와 Windows 및 Linux 호스트 패치를 위한 퍼블릭 엔드포인트가 포함됩니다. 작동하면 AMS 콘솔의 관리 | 관리형 방화벽 | 아웃바운드(Palo Alto) 범주에서 RFC를 생성하여 허용 목록을 생성 또는 삭제하거나 도메인을 수정할 수 있습니다. 는 수정할 수 ams-allowlist 없습니다. RFC는 완전 자동화로 처리됩니다(수동이 아님).

사용자 지정 보안 정책

보안 정책은 소스 및 대상 보안 영역, 소스 및 대상 IP 주소, 서비스와 같은 트래픽 속성을 기반으로 세션을 차단할지 또는 허용할지 여부를 결정합니다. 사용자 지정 보안 정책은 완전 자동화된 RFCs에서 지원됩니다. 보안 정책을 생성하거나 삭제할 CTs는 관리 | 관리형 방화벽 | 아웃바운드(Palo Alto) 범주에서 찾을 수 있으며, 기존 보안 정책을 편집할 CT는 배포 | 관리형 방화벽 | 아웃바운드(Palo Alto) 범주에서 찾을 수 있습니다. 새 보안 정책을 생성하거나, 보안 정책을 수정하거나, 보안 정책을 삭제할 수 있습니다.

CloudWatch PA 송신 대시보드

CloudWatch에서 두 개의 대시보드를 찾아 Palo Alto(PA)의 집계 보기를 제공할 수 있습니다. AMS-MF-PA-Egress-Config-Dashboard는 PA 구성 개요, 허용 목록 링크, 속성을 포함한 모든 보안 정책 목록을 제공합니다. AMS-MF-PA-Egress-Dashboard를 사용자 지정하여 트래픽 로그를 필터링할 수 있습니다. 예를 들어 보안 정책에 대한 대시보드를 생성하려면 다음과 같은 필터를 사용하여 RFC를 생성할 수 있습니다.

fields @timestamp, @message
| filter @logStream like /pa-traffic-logs/
| filter @message like /<Security Policy Name>/
| parse @message "*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*," as x1, @x2, @x3, @x4, @type, @x6, @x7, @source_ip, @destination_ip, @source_nat_ip, @dest_nat_ip, @rule, @x13, @x14, @application, @x16, @from_zone, @to_zone, @x19, @x20, @x21, @x22, @session_id, @x24, @source_port, @destination_port, @source_nat_port, @destination_nat_port, @x29, @protocol, @action, @bytes, @bytes_sent, @bytes_recieved, @packets, @x36, @x37, @category, @x39, @x40, @x41, @source_country, @destination_country, @x44, @packets_sent, @packets_recieved, @session_end_reason, @x48, @x49, @x50
| display @timestamp, @rule, @action, @session_end_reason, @protocol, @source_ip, @destination_ip, @source_port, @destination_port, @session_id, @from_zone, @to_zone, @category, @bytes_sent, @bytes_recieved, @packets_sent, @packets_recieved, @source_country, @destination_country

장애 조치 모델

방화벽 솔루션에는 23개의 Palo Alto(PA) 호스트(AZ당 하나)가 포함되어 있습니다. 정상 확인 카나리아는 일정한 일정에 따라 실행되어 호스트의 상태를 평가합니다. 호스트가 비정상으로 식별되면 AMS에 알림이 전송되고 라우팅 테이블 변경을 통해 해당 AZ의 트래픽이 다른 AZ의 정상 호스트로 자동으로 이동합니다. 상태 확인 워크플로가 지속적으로 실행되므로 일시적인 문제 또는 수동 수정으로 인해 호스트가 다시 정상 상태가 되면 정상 호스트를 통해 트래픽이 올바른 AZ로 다시 이동합니다.

확장

AMS는 방화벽의 처리량 및 조정 한도를 모니터링합니다. 처리량 제한이 더 낮은 워터마크 임계값(CPU/네트워킹)을 초과하면 AMS가 알림을 수신합니다. 워터메이커 임계값이 낮으면 리소스가 포화 상태에 도달하여 AMS가 시간 경과에 따른 지표를 평가하고 조정 솔루션을 제안하기 위해에 도달하고 있음을 나타냅니다.

백업 및 복원

백업은 초기 시작 중, 구성 변경 후, 정기적으로 생성됩니다. 초기 시작 백업은 호스트별로 생성되지만 백업 워크플로가 호출될 때 모든 방화벽 호스트에서 구성 변경 및 정기적인 간격 백업이 수행됩니다. AMS 엔지니어는 이러한 기간 외부에서 추가 백업을 생성하거나 요청 시 백업 세부 정보를 제공할 수 있습니다.

AMS 엔지니어는 필요한 경우 구성 백업 복원을 수행할 수 있습니다. 복원이 필요한 경우 모든 호스트에서 복원이 발생하여 호스트 간의 구성을 동기화된 상태로 유지합니다.

복원은 호스트에 인스턴스의 완전한 재활용이 필요한 경우에도 발생할 수 있습니다. 새 EC2 인스턴스가 프로비저닝되면 최신 백업의 자동 복원이 발생합니다. 일반적으로 호스트는 정기적으로 재활용되지 않으며 심각한 장애 또는 필요한 AMI 스왑용으로 예약됩니다. 호스트 휴지통은 수동으로 시작되며 휴지통이 발생하기 전에 알림을 받습니다.

방화벽 구성 백업 외에 특정 허용 목록 규칙은 별도로 백업됩니다. 정의된 허용 목록 규칙이 수정되면 백업이 자동으로 생성됩니다. 필요한 경우 AMS 엔지니어가 허용 목록 백업을 복원할 수 있습니다.

업데이트

AMS Managed Firewall Solution은 시간 경과에 따른 다양한 업데이트가 필요하므로 시스템 개선 사항, 추가 기능 또는 방화벽 운영 체제(OS) 또는 소프트웨어 업데이트를 추가할 수 있습니다.

대부분의 변경 사항은 자동화 인프라 업데이트와 같은 실행 환경에 영향을 미치지 않지만 방화벽 인스턴스 교체 또는 OS 업데이트와 같은 다른 변경 사항으로 인해 중단이 발생할 수 있습니다. 업데이트로 인한 잠재적 서비스 중단이 평가되면 AMS는 유지 관리 기간을 수용하기 위해 사용자와 협력합니다.

운영자 액세스

AMS 운영자는 ActiveDirectory 자격 증명을 사용하여 Palo Alto 디바이스에 로그인하여 작업(예: 패치 적용, 이벤트 응답 등)을 수행합니다. 이 솔루션은 표준 AMS 운영자 인증 및 구성 변경 로그를 유지하여 Palo Alto 호스트에서 수행된 작업을 추적합니다.

기본 로그

기본적으로 방화벽에서 생성된 로그는 각 방화벽의 로컬 스토리지에 있습니다. 초과 근무 시 로컬 로그는 스토리지 사용률에 따라 삭제됩니다. AMS 솔루션은 시스템에서 CloudWatch 로그로 로그를 실시간으로 전송합니다. 자세한 내용은 섹션을 참조하세요CloudWatch Logs 통합.

AMS 엔지니어는 필요한 경우 시스템에서 직접 로그를 쿼리하고 내보낼 수 있습니다. 또한 로그를 고객 소유 Panorama로 전송할 수 있습니다. 자세한 내용은 섹션을 참조하세요Panorama 통합.

솔루션에서 수집하는 로그는 다음과 같습니다.

이벤트 관리

AMS는 방화벽의 용량, 상태 및 가용성을 지속적으로 모니터링합니다. 방화벽에서 생성된 지표와 AWS/AMS에서 생성된 지표는 문제를 조사하고 해결할 AMS 운영 엔지니어가 수신하는 경보를 생성하는 데 사용됩니다. 현재 경보는 다음과 같은 경우를 다룹니다.

이벤트 경보:

관리 경보:

지표

모든 지표는 캡처되어 네트워킹 계정의 CloudWatch에 저장됩니다. 이는 네트워킹 계정에 대한 콘솔 액세스 권한을 얻고 CloudWatch 콘솔로 이동하여 볼 수 있습니다. 개별 지표는 지표 탭 또는 선택한 지표의 단일 창 대시보드 보기에서 볼 수 있으며, 집계된 지표는 대시보드 탭으로 이동하여 AMS-MF-PA-Egress-Dashboard를 선택하여 볼 수 있습니다.

사용자 지정 지표:

CloudWatch Logs 통합

CloudWatch Logs 통합은 방화벽의 로그를 CloudWatch Logs로 전달하여 로컬 스토리지 사용률로 인한 로그 손실 위험을 완화합니다. 로그는 방화벽이 로그를 생성할 때 실시간으로 채워지며 콘솔 또는 API를 통해 온디맨드로 볼 수 있습니다.

복잡한 쿼리는 로그 분석을 위해 빌드하거나 CloudWatch Insights를 사용하여 CSV로 내보낼 수 있습니다. 또한 사용자 지정 AMS Managed Firewall CloudWatch 대시보드에는 특정 트래픽 로그 쿼리에 대한 빠른 보기와 시간 경과에 따른 트래픽 및 정책 적중에 대한 그래프 시각화도 표시됩니다. CloudWatch 로그를 사용하면 AWS Kinesis와 같은 다른 AWS 서비스에 대한 기본 통합도 가능합니다.

Panorama 통합

AMS Managed Firewall은 필요에 따라 기존 Panorama와 통합할 수 있습니다. 이렇게 하면 Panorama에서 방화벽 구성을 보거나 방화벽에서 Panorama로 로그를 전달할 수 있습니다. AMS Managed Firewall과의 Panorama 통합은 읽기 전용이며 Panorama의 방화벽에 대한 구성 변경은 허용되지 않습니다. Panorama는 사용자가 완전히 관리하고 구성하며, AMS는 방화벽과 통신하도록 방화벽을 구성하는 것만 책임집니다.

라이선싱

AMS Managed Firewall의 가격은 사용된 라이선스 유형, 시간당 또는 기존 보유 라이선스 사용(BYOL) 및 어플라이언스가 실행되는 인스턴스 크기에 따라 달라집니다. AWS Marketplace를 통해 선호하는 Palo Alto 방화벽의 인스턴스 크기와 라이선스를 주문해야 합니다.

제한 사항

현재 AMS는 VM-300 시리즈 또는 VM-500 시리즈 방화벽을 지원합니다. 구성은 AWS EC2 인스턴스의 VM 시리즈 모델,

온보딩 요구 사항

요금

AMS Managed Firewall 기본 인프라 비용은 Palo Alto 방화벽을 호스팅하는 EC2 인스턴스, 소프트웨어 라이선스 Palo Alto VM 시리즈 라이선스, CloudWatch Integrations의 세 가지 주요 드라이버로 나뉩니다.

다음 요금은 VM-300 시리즈 방화벽을 기반으로 합니다.