AWS Network Firewallが提供する機能

AWS Network Firewallは、VPC向けのマネージド型ステートフルネットワークファイアウォールおよび侵入防止サービスです。リソース単位のセキュリティグループやサブネット単位のNACLとは異なり、AWSが管理するVPC全体の詳細なトラフィック検査とフィルタリングを提供し、トラフィック量に応じて自動的にスケーリングします。

セキュリティグループとNACLは、IP、ポート、プロトコルだけを基準にフィルタリングします。Network Firewallはディープパケットインスペクションを追加し、ドメイン名、プロトコル、攻撃シグネチャに基づいて照合できます。これにより、単純なファイアウォールでは提供できない、VPC内部での侵入防止型のフィルタリングが可能になります。

Network Firewallには、高速で単純なパケットルールに対応するステートレスエンジンと、接続を追跡して詳細な検査を行うステートフルエンジンの両方があります。ステートレスルールではトラフィックをすばやく許可またはドロップでき、ステートフルルールではSuricata互換のシグネチャを使用して高度な検知を行います。

Network Firewallは、専用サブネットにファイアウォールエンドポイントを作成し、ルートテーブルを変更してトラフィックをそこへ経由させることでデプロイします。一般的な設計では、各Availability Zoneに個別のファイアウォールサブネットを用意し、インターネットや他のサブネットに到達する前にVPCトラフィックをエンドポイント経由にします。

Network Firewallは、Transit Gatewayを使用した集中検査や、VPCごとの検査といったパターンに適合します。スポークVPCからのトラフィックを、ファイアウォールを実行する中央の検査VPC経由でルーティングすることで、1つのポリシーで複数のVPCを保護でき、大規模環境でのガバナンスを簡素化できます。

マネージドサービスであるNetwork Firewallは、スケーリング、パッチ適用、可用性をユーザーに代わって処理します。複数のAvailability Zoneにエンドポイントをデプロイすれば、ユーザー自身でファイアウォールアプライアンスを運用・保守することなく、レジリエントで高可用性の検査環境を実現できます。

ファイアウォールポリシーは、ファイアウォールが適用するステートレスおよびステートフルのルールグループ、デフォルトアクション、動作を定義します。1つのポリシーを複数のファイアウォールに関連付けられるため、WAFのウェブACLがウェブルールを一元化するのと同様に、検査ルールを一元管理できます。

主な用途の1つが送信（アウトバウンド）トラフィックのフィルタリングです。これは、ワークロードがアクセスできる外部ドメインや宛先を制御するものです。これにより、マルウェアによる攻撃者へのコールバックを阻止し、未承認サイトへのデータ流出を防ぎ、許可された宛先の許可リストを適用できます。セキュリティグループでは、ドメイン単位でこの制御を行えません。

Network Firewallは、CloudWatch Logs、S3、またはKinesis Firehoseに送信できるアラートログとフローログを生成します。アラートログにはステートフルルールをトリガーしたトラフィックが記録され、フローログには接続メタデータが記録されます。これらは検知・調査ツールへの入力となり、検査したトラフィックの監査証跡を提供します。

Network Firewallは、EC2上でサードパーティ製ファイアウォールアプライアンスを実行する代わりとなるAWSネイティブのサービスです。インスタンスのサイジング、パッチ適用、スケーリングの負担をなくしながら、VPCルーティングやFirewall Managerと統合して、組織全体への一元的なデプロイを実現します。

セキュリティグループやNACLでは対応できない、VPC全体の侵入防止、ドメインベースの送信制御、一元的なトラフィック検査が必要な場合にNetwork Firewallを使用します。Network Firewallは、WAF（ウェブリクエスト）やShield（DDoS）を補完し、防御スタックにおける詳細なネットワーク検査の層を担います。

適切なツールを特定してください。

AWS Network Firewallは、レイヤー3/4を超えるディープパケットインスペクションに対応した、管理型のVPC全体向けステートフルファイアウォールおよびIPSです。ステートレスエンジンとステートフルエンジンを実行し、専用サブネットのファイアウォールエンドポイントとルート変更によってデプロイします。また、トランジットゲートウェイを通じた一元的な検査にも対応します。主な用途は、ドメインベースの送信トラフィックのフィルタリングと侵入防止であり、アラートログとフローログも利用できます。