【AWSセキュリティ基礎】AWS WAF・Shield・Firewall Manager
こんにちは、SAAYAです。AWSのセキュリティに焦点を当て、いくつかのサービスについてまとめてみました。自己学習用ですが、参考になれば幸いです…！
AWS WAFとは
AWSで提供されているWAF(Web Application Firewall)のマネージドサービス
通常のファイアウォールが、送信元/宛先のCIDRやポート番号で通信の許可/拒否を判断するのに対し、WAFはクライアントからWEBアプリケーションへのリクエスト内容を見て、通信の許可/拒否を判断する
SQLインジェクションやクロスサイトスクリプティングなどの攻撃に対するルールが提供されており、ALBやAPIGatewayなどの保護に利用することが可能
攻撃検知のルール
AWS WAFのルールには「マネージドルール」と「ユーザー定義ルール」の2種類があり、組み合わせて使用することにより、効果的に攻撃から保護することができる。
マネージドルールとは
複数のルールを組み合わせてセットにしたもの
複数のルールを組み合わせてセットにしたもの
AWSや各セキュリティベンダより提供されている
専門知識や検証などを必要とせず、容易に利用することができる
更新は各ベンダにより自動的に適用されるため、運用コストの削減が可能
ユーザー定義ルールとは
ユーザ独自で作成するルール
以下の4種類を作成することができる
IP制限：特定のIPアドレスからの接続制限
レートベースルール：同一IPアドレスからの接続数制限
特定の脆弱性に関するルール：脆弱性に関するリクエスト制限
悪意のあるhttpリクエストを判別するルール：httpリクエストの内容について、不正とみなす条件を設定し制限を行う
WAFの設置例
WAFはCloudFrontやELB、API Gatewayに対応しており、各サービスの前段に設置することで、リクエストの内容をチェックし、不審なリクエストをブロックする。
AWS Shieldとは
DDoS攻撃からシステムを保護するためのサービス
StandardとAdvancedの2種類がある
AWS Shield Standard
無償で自動的に適用されている
小規模なシステム向け
保護対象はインターネットに面したすべてのAWSサービス
AWSの受信トラフィックを検査・分析し悪意のあるトラフィックをリアルタイムで検知する
自動化された攻撃緩和技術が組み込まれており、ネットワーク・トランスポートレイヤの一般的なDDoS攻撃からの保護を提供する
アプリケーション層のDDoSから保護できるWAFと併用すれば、基本的なDDoS攻撃への対策ができる（WAFの利用料金は別途課金される。）
AWS Shield Advanced
有償でより高度なDDoS攻撃からの保護、DDoS攻撃に起因するコスト増加への保護を提供
大規模でDDoS攻撃に狙われやすいシステム向け
保護対象はEC2、ELB、CloudFront、GlobalAccelarator、Route53
対象リソースのトラフィックからベースラインを作り、異常なトラフィックを検知すること（＝アノマリー型検知）が可能
AWS DDoSレスポンスチーム（DRT）からのサポートを24時間365日受けることができる
追加料金なしでAWS WAFの利用が可能
DDoS攻撃により利用料が急増するなどの被害を受けた場合、増加した料金の調整リクエストを行うことが可能
1年間のサブスクリプション契約が必要
Shieldの全体像
AWS Firewall Managerとは
AWSにおいてファイアウォールにあたるサービスのAWS WAF、Shield Advanced、Security Groupのポリシーを一元管理するためのサービス。
Firewall Managerであらかじめセキュリティルールを定義しておくことで、自動的にルールを適用できるようになる。
AWS Organizationsと統合されているため、同じセキュリティルールを複数のアカウントに適用することなども可能。
Firewall Managerで管理できるサービスは以下の３つ。
AWS WAF
AWS WAF
AWS Shield Advanced
Amazon VPC Security Group
Firewall Managerの利用を開始するには、以下4つの前提条件を満たすことが必要となる。
AWS Organizationsへの参加および設定
AWS Organizationsへの参加および設定
Firewall Manager管理者アカウントの設定
AWS Configの有効化
Network FirewallおよびDNSファイアウォールポリシーでリソース共有を有効化
Firewall Managerの全体像
