AWS Firewall Manager で一元管理するセキュリティルール - WAF と Security Group の組織展開
Organizations 全体の WAF ルール、Security Group、Network Firewall ポリシーを一元管理し、新規アカウントへの自動適用で組織全体のセキュリティベースラインを維持する方法を解説します。
Firewall Manager の概要
AWS Firewall Manager は Organizations 全体のファイアウォールルールを一元管理するセキュリティ管理サービスです。WAF ルール、Shield Advanced 保護、Security Group ルール、Network Firewall ポリシー、Route 53 Resolver DNS Firewall ルールを組織全体に一括適用できます。新しいアカウントやリソースが追加された際に、定義済みのセキュリティポリシーが自動的に適用されるため、セキュリティベースラインの維持が確実になります。個別のアカウントで WAF ルールや Security Group を手動管理する場合、設定の漏れや不整合が発生しやすくなりますが、Firewall Manager はこの問題を組織レベルで解決します。
セキュリティポリシーの設計
Firewall Manager のセキュリティポリシーは、ポリシータイプ (WAF、Shield、Security Group、Network Firewall、DNS Firewall) ごとに作成します。WAF ポリシーでは、マネージドルールグループ (AWS Managed Rules、Marketplace のルール) とカスタムルールを組み合わせて定義し、CloudFront、ALB、API Gateway に自動適用します。Security Group ポリシーでは、許可するインバウンド/アウトバウンドルールを定義し、ポリシーに違反する Security Group を自動修復 (非準拠ルールの削除) するオプションも提供します。Network Firewall ポリシーでは、VPC のトラフィックフィルタリングルールを定義し、新規 VPC に自動的に Network Firewall エンドポイントをデプロイします。ポリシーの適用範囲は OU、タグ、アカウント ID で制御でき、特定の環境 (本番のみ、特定リージョンのみ) に限定した適用が可能です。
コンプライアンスと自動修復
Firewall Manager のコンプライアンスダッシュボードで、各アカウント・リソースのポリシー準拠状況をリアルタイムに監視します。非準拠のリソースは自動修復 (ポリシーに定義されたルールの強制適用) または通知のみ (管理者にアラート) のいずれかで対応できます。Security Hub との統合で、Firewall Manager の検出結果を他のセキュリティサービスの検出結果と統合的に管理します。Config ルールとの連携で、Firewall Manager ポリシーの適用状況をコンプライアンスレポートに含めることも可能です。 ネットワークセキュリティの設計についてはAmazon の関連書籍も参考になります。
Firewall Manager の料金
Firewall Manager の料金はポリシーあたり月額約 100 ドルです。1 つのポリシーで組織全体 (数百アカウント) に適用できるため、アカウント数が多いほどアカウントあたりのコストは低下します。ポリシーによって適用される WAF、Shield Advanced、Network Firewall などの各サービスの料金は別途発生します。Firewall Manager 自体の料金は固定ですが、適用するルールの数やトラフィック量に応じて各サービスの従量課金が増加する点に注意が必要です。
まとめ
AWS Firewall Manager は Organizations 全体の WAF・Security Group・Network Firewall ポリシーを一元管理し、新規アカウント・リソースへの自動適用でセキュリティベースラインを維持するサービスです。コンプライアンスダッシュボードと自動修復機能で、組織全体のセキュリティ態勢を継続的に監視・改善します。