AWS Network Firewall
- 区分
- 専門
- 提供開始
- 2020 年
VPC のネットワークトラフィックをきめ細かく制御するマネージドファイアウォールサービス
何ができるか
AWS Network Firewall は、VPC 内のネットワークトラフィックを検査 / フィルタリングするフルマネージドのファイアウォールサービスです。ステートフルおよびステートレスなパケットフィルタリング、侵入検知 / 防止 (IDS/IPS)、Web フィルタリングなどの機能を提供します。Suricata 互換のルールエンジンを搭載しており、既存のオンプレミスファイアウォールルールを移行することも可能です。トラフィック量に応じて自動的にスケールするため、容量計画は不要です。
どのような場面で使うか
VPC 間のトラフィック制御、インターネットへの送信トラフィックのフィルタリング、既知の悪意あるドメインへのアクセスブロック、コンプライアンス要件に基づくネットワーク監査、マルウェア通信の検知と遮断、マルチアカウント環境での一元的なネットワークセキュリティ管理など、ネットワークレベルのセキュリティ強化が必要な場面で活用されています。
身近な例え
ビルの警備員に例えるとわかりやすいでしょう。セキュリティグループが各部屋のドアロック (ポート単位の制御) だとすれば、Network Firewall はビルの入口に立つ警備員です。入退館者の身分証 (パケットの内容) を確認し、不審者 (悪意あるトラフィック) を検知してブロックします。警備員の人数はビルの混雑度に応じて自動的に増減します。
Network Firewall とは
AWS Network Firewall は、VPC レベルでネットワークトラフィックを検査 / 制御するサービスです。セキュリティグループや NACL (ネットワーク ACL) が IP アドレスやポート番号に基づく基本的なフィルタリングを提供するのに対し、Network Firewall はパケットの内容 (ペイロード) まで検査するディープパケットインスペクション (DPI) が可能です。これにより、アプリケーション層の脅威やプロトコルの異常を検知できます。AWS Firewall Manager と統合することで、複数アカウント / 複数 VPC にまたがるファイアウォールポリシーを一元管理できます。
ルールエンジンと検査機能
Network Firewall のルールエンジンは、ステートレスルールとステートフルルールの 2 層構造で動作します。ステートレスルールは 5 タプル (送信元 IP、宛先 IP、送信元ポート、宛先ポート、プロトコル) に基づく高速なフィルタリングを行います。ステートフルルールは Suricata 互換の IPS ルール形式をサポートし、TLS の SNI (Server Name Indication) に基づくドメインフィルタリングや、HTTP ヘッダーの検査、プロトコルアノマリの検知が可能です。AWS が提供するマネージドルールグループを利用すれば、最新の脅威インテリジェンスに基づくルールを簡単に適用できます。
デプロイアーキテクチャ
Network Firewall は専用のファイアウォールサブネットにエンドポイントとしてデプロイされます。VPC のルートテーブルを設定して、検査対象のトラフィックをファイアウォールエンドポイント経由でルーティングします。Transit Gateway と組み合わせることで、ハブアンドスポーク型のアーキテクチャで複数 VPC のトラフィックを集中検査することも可能です。ファイアウォールのログは S3、CloudWatch Logs、Kinesis Data Firehose に出力でき、セキュリティ監査やインシデント調査に活用できます。
注意点
- セキュリティグループと NACL で十分な場合は Network Firewall を追加する必要はなく、ディープパケットインスペクションや IDS/IPS が必要な場合に導入を検討すること
- ファイアウォールエンドポイントは AZ ごとに作成されるため、マルチ AZ 構成ではエンドポイント数に応じたコストが発生する点に注意すること
利用できるリージョン
AWS Network Firewall を利用できるリージョンは 37 か所です (2026-10-09 時点)。
アジアパシフィック：香港、台北、東京、ソウル、大阪、ムンバイ、ハイデラバード、シンガポール、シドニー、ジャカルタ、メルボルン、マレーシア、ニュージーランド、タイ
北米：カナダ (中部)、カナダ西部 (カルガリー)、メキシコ (中部)、米国東部 (バージニア北部)、米国東部 (オハイオ)、米国西部 (北カリフォルニア)、米国西部 (オレゴン)
南米：サンパウロ
欧州：フランクフルト、チューリッヒ、ストックホルム、ミラノ、スペイン、アイルランド、ロンドン、パリ
AWS 欧州ソブリンクラウド：ドイツ
中東：イスラエル (テルアビブ)、アラブ首長国連邦、バーレーン
アフリカ：ケープタウン
AWS GovCloud (米国)：AWS GovCloud (米国東部)、AWS GovCloud (米国西部)
参考資料 (AWS 公式)
本ページの一次情報は AWS 公式サイトと公式ドキュメントです。最新の仕様と料金は次の公式ページで確認できます。
本ページと公式ドキュメントの記述が食い違う場合は、公式ドキュメントを正としてください。
