AWS Network Firewall による VPC トラフィック制御 - ステートフルルールとドメインフィルタリング

Network Firewall の位置づけとセキュリティグループとの違い

この記事は約 3 分で読めます。 Network Firewall は VPC 内のトラフィックをインラインで検査するマネージドファイアウォールサービスです。セキュリティグループが ENI レベルの L3/L4 フィルタリングに限定されるのに対し、Network Firewall は L7 のアプリケーションプロトコル検査、ドメインベースのフィルタリング、IDS/IPS シグネチャマッチングを提供します。専用のファイアウォールサブネットに配置し、ルートテーブルでトラフィックをファイアウォールエンドポイント経由にルーティングする構成です。インターネットゲートウェイとワークロードサブネットの間に配置することで、インバウンド・アウトバウンドの両方のトラフィックを検査できます。

この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。

ルール設計とドメインフィルタリング

ステートレスルールは 5 タプル (送信元/宛先 IP、送信元/宛先ポート、プロトコル) でマッチングし、パス、ドロップ、ステートフルルールへの転送を指定します。ステートフルルールは接続の状態を追跡し、Suricata 互換の形式で L7 の検査ルールを記述できます。ドメインリストフィルタリングは、HTTP の Host ヘッダーや TLS の SNI (Server Name Indication) を検査して、許可リストまたは拒否リストに基づくフィルタリングを実行します。アウトバウンドトラフィックを許可リスト方式で制御し、業務に必要なドメインのみへの通信を許可する構成が、データ流出防止に有効です。

マネージドルールと運用

AWS Managed Rule Groups は既知の脅威シグネチャを含むルールセットで、AWS が自動的に更新します。マルウェアの C2 通信パターン、既知の悪意あるドメイン、一般的な攻撃シグネチャをカバーしています。ファイアウォールのログは CloudWatch Logs、S3、Kinesis Data Firehose に送信でき、アラートログ (ルールにマッチしたトラフィック) とフローログ (全トラフィック) を分離して保存できます。Firewall Manager を使用すると、Organizations 内の全アカウントに統一的なファイアウォールポリシーを適用し、新しいアカウントや VPC が作成された際にも自動的にポリシーが適用されます。

さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。

まとめ

Network Firewall はセキュリティグループでは対応できない L7 レベルのトラフィック検査を提供するマネージドファイアウォールです。ドメインフィルタリングと Suricata 互換ルールで高度な脅威防御を実現し、Firewall Manager で組織全体に統一ポリシーを適用できます。