networkfirewall

用途

该技能提供配置 AWS Network Firewall 的领域知识。AWS Network Firewall 是托管的有状态防火墙与入侵防御服务，使用 Suricata 检测引擎在 VPC 边界过滤流量。技能覆盖把防火墙放入流量路径、经其端点路由流量、通过挂载到中转网关的防火墙集中检查跨 VPC 流量、按域名过滤出站流量、日志与规则调优、对加密流量做 TLS 检查，以及诊断流量被丢弃、放行或未匹配的原因。

主要能力

技能是一个路由器，每项客户任务对应 references/ 下的一个参考文件，执行前需完整阅读匹配的参考，再遵循其约束与步骤。参考文件自包含，各自带有决策表、约束、流程和排障内容。

可路由的任务与对应参考：

• 将防火墙放入路径并让 VPC 流量经其端点路由：deploying a firewall and routing traffic through it。
• 使用挂载到中转网关的防火墙，从一处集中检查多个 VPC 的流量：centralizing inspection with a transit gateway-attached firewall。
• 按目标域名允许或阻止出站连接：filtering outbound traffic by domain name。
• 开启告警、流和 TLS 日志，并根据日志调优规则：enabling firewall logging and tuning rules。
• 使用 ACM 证书解密并检查 TLS 流量：inspecting encrypted traffic with TLS inspection。
• 编写自定义有状态 Suricata 规则并修复不匹配的规则：writing and troubleshooting stateful Suricata rules。
• 在活跃安全事件中立即封禁特定指标：responding to an active security incident。
• 在 CloudFormation 或 CDK 中管理防火墙、策略和规则：managing firewall rules as IaC。
• 用 Network Firewall 替换第三方防火墙设备：migrating from a third-party firewall appliance。
• 查明流量被丢弃、通过或未匹配规则的原因：diagnosing dropped or unmatched traffic。

路由要点

• 先部署再写规则。防火墙在 VPC 路由表把流量重定向到其端点前不产生任何作用，且路由缺失时不会报错。防火墙为新建或流量未到达时，先路由到部署参考，再假设是规则问题。
• 挂载中转网关 vs 检查 VPC。集中检查参考使用原生挂载中转网关的防火墙，省去手工构建的检查 VPC 及其路由表。多 VPC 或多账户检查应路由到该参考，而非手工构建检查 VPC。
• 域名过滤匹配握手而非 IP。域名过滤参考基于 TLS SNI 和 HTTP host 头匹配，而非 DNS 查询；允许列表会静默丢弃同协议的不匹配流量。出站域名控制路由到该参考；需要完整 URL 路径而非仅域名时，改用 TLS 检查。
• TLS 检查会改变规则匹配结果。TLS 检查参考是需要对解密后载荷生效的任何规则的前提。TLS 终止后，解密流量对状态引擎而言是明文 HTTP，端口 443 与 tls 规则将不再匹配。客户针对加密流量编写规则前应先路由到该参考。
• 按症状诊断而非猜测。诊断参考会读取端点状态消息（错误 vs 不可恢复故障）、测试路由对称性，并在任何重写前检查 HOME_NET、评估顺序和规则层。出现“流量被丢弃”“流量本不该通过却通过”“我的规则不匹配”时路由到该参考。当症状为“流量被丢弃但完全没有告警日志”时，怀疑后量子 ClientHello 分片，诊断与日志参考中有所覆盖。
• 事件响应 vs 配置。响应参考针对已部署防火墙上的活跃事件：立即封禁一个指标、确认并回退。出现“我正在被攻击，立即封禁它”时路由到该参考，而不是较慢的部署或规则编写工作流。
• 规则编写 vs 域名过滤。编写 Suricata 参考覆盖自定义有状态规则（flow 关键字、规则顺序、Suricata 引擎约束）。需要 IPS 或 IDS 规则编写时路由到该参考；客户只需允许或阻止域名时路由到域名过滤参考。
• IaC vs 控制台更改。以代码管理参考针对 CloudFormation 或 CDK 所有权，此时不可变属性（容量、规则顺序）会使错误结构导致替换。客户以模板管理防火墙时路由到该参考。
• 迁移 vs 首次设置。迁移参考用于用现有规则集和流量路径替换第三方防火墙设备，出现“从 Palo Alto 或 FortiGate 迁走”时路由到该参考，而非假设全新防火墙的部署参考。

使用方式

连接时使用 AWS MCP 服务器执行命令（沙箱化执行、审计日志、可观测性），否则回退到 AWS CLI。Network Firewall 是区域级服务，每条 aws network-firewall 命令都要传入与防火墙区域一致的 --region。防火墙创建、删除及若干操作是异步的：需轮询资源直至达到预期状态，再依赖它。

安全考量

该技能管理网络边界安全，配置错误会削弱防火墙后方每个 VPC 的安全态势，每项任务都应带入以下要求：

• 默认丢弃姿态。必须把状态默认动作配置为 drop（即允许流量的白名单），而非默认允许，使没有规则匹配的流量被阻止而不是未经检查地放行。对网络防火墙而言，故障关闭的默认值是基本安全控制而非可选项；过于宽松的规则集会把防火墙降级为透传。
• 无静默检查缺口。必须确认流量确实经防火墙端点路由并转发到状态引擎；路由表配置错误，或状态默认动作不是 aws:forward_to_sfe，都会让流量未被检查且不报错误。
• 临时、最小权限凭证。必须使用临时、最小权限凭证（限时的 assumed-role 会话），按操作者所需限定到具体 network-firewall: 动作和资源（如 network-firewall:UpdateRuleGroup、network-firewall:DescribeFirewall），绝不用长期访问密钥或宽泛管理权限，因为这些权限可以改变允许的流量。
• 加密静态日志与防火墙数据。必须加密每个接收防火墙日志（告警、流或 TLS）的目标：在 Amazon CloudWatch Logs 日志组上使用客户管理的 AWS KMS 密钥（aws logs associate-kms-key），在 Amazon S3 桶上使用 SSE-S3 或客户管理的 AWS KMS 密钥，在 Amazon Data Firehose 传输流上使用客户管理的 AWS KMS 密钥，因为这些日志会暴露敏感网络元数据（源与目的 IP、域名和 SNI 值）。还应使用客户管理的 AWS KMS 密钥加密防火墙静态数据。
• 用条件键限定日志目标资源策略。应使用 aws:SourceArn（防火墙的 ARN）和 aws:SourceAccount 条件键限定每个日志目标（Amazon S3 桶策略、Amazon CloudWatch Logs 资源策略、Amazon Data Firehose 传输流策略）的资源策略，使只有预期账户中的该防火墙可写入目标，其他账户或服务不能（防止混淆代理）。
• 用 CloudTrail 记录 API 变更。应在账户上启用 AWS CloudTrail，以记录防火墙、策略、规则组和日志配置的 API 变更，供审计和事件复盘。
• 对关键防火墙事件告警。应配置 CloudWatch 告警，在关键防火墙事件（端点故障、策略变更、容量警告）时报警，以便及时发现并升级问题。必须用客户管理的 AWS KMS 密钥加密用于这些告警通知的任何 SNS 主题，并将告警通知接收者限制为授权的运维和安全人员，因为告警消息可能暴露敏感防火墙元数据（端点状态、流量模式和容量）。
• 每任务细节。每个参考都带有其工作流自身的安全考量；执行前阅读匹配的参考。

限制

资料未提供具体的定价、配额、支持区域列表或性能数字；这些需参考 AWS 官方文档。技能的参考文献内容未在资料中给出全文，实际执行以对应参考文件为准。