ある企業のセキュリティチームは、本番 VPC のプライベートサブネットで稼働する EC2 インスタンス間の東西トラフィック（East-West Traffic：同一 VPC 内のインスタンス間通信）を、通信経路に影響を与

Question

ある企業のセキュリティチームは、本番 VPC のプライベートサブネットで稼働する EC2 インスタンス間の東西トラフィック（East-West Traffic：同一 VPC 内のインスタンス間通信）を、通信経路に影響を与えずにサードパーティの IDS（Intrusion Detection System：侵入検知システム）でパケットレベル分析します。以下の制約があります。
・既存 EC2 インスタンスの通信経路に IDS を介在させない（インライン配置禁止）
・監視対象のプロトコルや IP アドレス範囲を限定して IDS への負荷を最小化する
・EC2 インスタンスへのエージェントインストールや OS 設定変更は不要とする

この構成を実現するために必要な設定を 2 つ選んでください。

Accepted Answer

正解: IDS を実行する EC2 インスタンスの ENI を VPC Traffic Mirroring のミラーターゲットとして設定する / VPC Traffic Mirroring のミラーフィルターで、キャプチャ対象プロトコルおよび送信元/宛先 IP アドレスを指定して選択的にトラフィックをミラーリングする。VPC Traffic Mirroring は EC2 インスタンスの ENI から別の ENI（または NLB）にパケットをコピーするアウトオブバンド方式です。既存の通信経路を変更せずにパケットレベルのコピーを IDS に送信できます。ミラーターゲット（A）でコピー先 IDS インスタンスの ENI を指定し、ミラーフィルター（C）でキャプチャするプロトコルや IP 範囲を限定することで、IDS への負荷を最小化しながら選択的なパケットキャプチャが実現できます。

選択肢BのVPC Flow Logs はネットワークフローのメタデータ（IP アドレス・ポート・バイト数等）のみを記録し、パケットペイロードは含まれないため IDS でのパケットレベル分析には不十分です。

選択肢DのAWS Network Firewall にはトラフィックを外部 IDS に転送するミラーリング機能はありません。Network Firewall 自体が Suricata ルールによる IDS/IPS 機能を内蔵しており、アウトオブバンドでパケットを転送する仕組みとは異なります。

Answer

VPC Flow Logs を Amazon S3 に出力し、Amazon Athena でパケットペイロードを含む詳細分析を行う — VPC Flow Logs はネットワークフローのメタデータ（IP アドレス・ポート・バイト数等）のみを記録し、パケットペイロードは含まれないため IDS でのパケットレベル分析には不十分です。

Answer

AWS Network Firewall のトラフィックミラーリング機能を有効化して East-West トラフィックを IDS に転送する — AWS Network Firewall にはトラフィックを外部 IDS に転送するミラーリング機能はありません。Network Firewall 自体が Suricata ルールによる IDS/IPS 機能を内蔵しており、アウトオブバンドでパケットを転送する仕組みとは異なります。

Answer

監視対象 EC2 インスタンスの ENI でプロミスキャスモードを有効にして、IDS インスタンスが隣接するすべての East-West トラフィックをキャプチャできるようにする — AWS VPC では ENI のプロミスキャスモードはサポートされておらず、自インスタンス宛て以外のトラフィックを受信することはできません。

解説

解説