AWS Network Firewall による VPC トラフィック制御 - ステートフルルールとドメインフィルタリング
ステートフル/ステートレスルールとドメインフィルタリングで VPC トラフィックを制御する。Suricata 互換ルールとマネージドルールの活用を紹介します。
Network Firewall の位置づけとセキュリティグループとの違い
Network Firewall は VPC 内のトラフィックをインラインで検査するマネージドファイアウォールサービスです。セキュリティグループが ENI レベルの L3/L4 フィルタリングに限定されるのに対し、Network Firewall は L7 のアプリケーションプロトコル検査、ドメインベースのフィルタリング、IDS/IPS シグネチャマッチングを提供します。専用のファイアウォールサブネットに配置し、ルートテーブルでトラフィックをファイアウォールエンドポイント経由にルーティングする構成です。インターネットゲートウェイとワークロードサブネットの間に配置することで、インバウンド・アウトバウンドの両方のトラフィックを検査できます。
ルール設計とドメインフィルタリング
ステートレスルールは 5 タプル (送信元/宛先 IP、送信元/宛先ポート、プロトコル) でマッチングし、パス、ドロップ、ステートフルルールへの転送を指定します。ステートフルルールは接続の状態を追跡し、Suricata 互換の形式で L7 の検査ルールを記述できます。ドメインリストフィルタリングは、HTTP の Host ヘッダーや TLS の SNI (Server Name Indication) を検査して、許可リストまたは拒否リストに基づくフィルタリングを実行します。アウトバウンドトラフィックを許可リスト方式で制御し、業務に必要なドメインのみへの通信を許可する構成が、データ流出防止に有効です。
マネージドルールと運用
AWS Managed Rule Groups は既知の脅威シグネチャを含むルールセットで、 AWS が自動的に更新します。マルウェアの C2 通信パターン、既知の悪意あるドメイン、一般的な攻撃シグネチャをカバーしています。ファイアウォールのログは CloudWatch Logs 、 S3 、 Kinesis Data Firehose に送信でき、アラートログ (ルールにマッチしたトラフィック) とフローログ (全トラフィック) を分離して保存できます。 Firewall Manager を使用すると、 Organizations 内の全アカウントに統一的なファイアウォールポリシーを適用し、新しいアカウントや VPC が作成された際にも自動的にポリシーが適用されます。 ネットワークセキュリティについて体系的に学びたい方は、関連書籍 (Amazon)も参考になります。
Network Firewall の料金
Network Firewall の料金はファイアウォールエンドポイントの時間課金とデータ処理量で構成されます。エンドポイントは 1 AZ あたり約 0.395 ドル/時 (月額約 284 ドル) で、マルチ AZ 構成では AZ 数分のコストがかかります。データ処理は 1 GB あたり約 0.065 ドルです。2 AZ 構成で月間 1 TB のトラフィックを処理する場合、月額約 633 ドル (エンドポイント 568 ドル + データ処理 65 ドル) です。セキュリティグループと NACL で対応できるフィルタリングは Network Firewall を使わず、L7 検査が必要なトラフィックのみを Network Firewall に通す設計でコストを最適化します。
まとめ
Network Firewall はセキュリティグループでは対応できない L7 レベルのトラフィック検査を提供するマネージドファイアウォールです。ドメインフィルタリングと Suricata 互換ルールで高度な脅威防御を実現し、Firewall Manager で組織全体に統一ポリシーを適用できます。