AWS Network Firewall inspecte le trafic du VPC face à des rule groups stateless et stateful liés à une firewall policy. Lire ces règles montre exactement ce qui est filtré et ce qui ne l'est pas, ce qui vous permet d'acheminer l'exfiltration ou le command-and-control via une destination autorisée ; un accès en écriture permet d'affaiblir la policy ou d'abandonner complètement l'inspection.
Énumérer les règles et la policy#
aws network-firewall list-firewalls
aws network-firewall describe-firewall --firewall-name <name>
aws network-firewall describe-firewall-policy --firewall-policy-name <policy>
aws network-firewall describe-rule-group --rule-group-name <rg> --type STATEFUL
Notes d'exploitation#
- L'action par défaut pour le trafic non inspecté ainsi que tout FQDN ou CIDR inscrit sur une liste d'autorisation sont les lacunes : envoyez l'exfiltration vers une destination autorisée plutôt que de lutter contre les règles.
- Un rule group stateful évalué dans le mauvais ordre, ou une règle de TLS SNI manquante, laisse passer du trafic que l'opérateur croit bloqué.
- Avec un accès en écriture, dissocier un rule group ou régler l'action par défaut de la policy sur allow supprime l'inspection sans supprimer le firewall, ce qui paraît anodin dans un inventaire.
Outils#
- AWS CLI (
network-firewall describe-*) : divulgation des rule groups et policies. - ScoutSuite / Prowler : inventaire des firewalls et de leurs actions par défaut.