ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある製造業の企業は、VPC 内の EC2 ワークロードからインターネットへの送信トラフィックを集中管理したいと考えている。要件は、許可された特定の FQDN（パッケージリポジトリや SaaS API など）への HTTPS 送信のみを許可し、それ以外の宛先への通信をブロックすることである。対象ドメインは CDN 配下にあり背後の IP アドレスが頻繁に変化するため、IP ベースの制御では運用できない。クライアント側への CA 証明書配布などの追加運用負荷は避けたい。AWS Network Firewall を集中検査 VPC に配置済みである。この要件を満たす構成はどれか。
Aステートフルルールグループにドメインリスト型ルールを作成し、HOME_NET を送信元 VPC の CIDR に設定して TLS の SNI と HTTP Host ヘッダーを評価し、許可 FQDN のみ通過させデフォルトアクションを drop にする
✓ 正解
ドメインリスト型ステートフルルールは SNI と Host ヘッダーを参照し FQDN で判定するため、復号不要で CA 配布が不要、かつ CDN の可変 IP にも追従できる。HOME_NET を送信元 CIDR にすることで送信方向制御が成立し全要件を満たす。
Bステートレスルールグループに宛先ポート 443 を許可するルールを作成し、許可ドメインの現在の IP アドレス範囲を宛先 CIDR として指定して通過させ、その他をデフォルトで drop する
ステートレスルールグループは L3/L4 ヘッダーのみを評価し FQDN を解釈できない。許可ドメインの IP を静的に列挙する方式は CDN の頻繁な IP 変更に追従できず、運用不能となるため不適切。
CTLS インスペクション設定を有効化し、ACM の内部 CA で生成した証明書で全 HTTPS を復号してから平文の Host ヘッダーで許可ドメインを照合し、許可外を drop する
TLS インスペクションで全 HTTPS を復号する構成はクライアントへの内部 CA 証明書の配布と鍵管理が必須となる。SNI による FQDN フィルタには復号自体が不要であり、避けたい追加運用負荷を生むため不適切。
Dステートフルルールグループに Suricata 互換ルールを記述し、許可ドメインを解決した IP に対する flow キーワードで established セッションのみを許可し、その他を drop する
Suricata の IP ベース flow ルールはドメイン解決時点の IP に依存する。CDN 配下で宛先 IP が頻繁に変化する環境では許可対象を取りこぼし、要件である安定した FQDN 制御を実現できない。
解説
Network Firewall のステートフルルールグループにあるドメインリスト型ルールは、TLS ハンドシェイクの SNI および HTTP の Host ヘッダーを参照して FQDN ベースで許可・拒否を判定する。トラフィックを復号せずに動作するため CA 証明書の配布が不要で、宛先 IP が変化する CDN 配下のドメインにも追従できる。HOME_NET を送信元 CIDR に設定することで送信方向の制御が正しく機能する。
選択肢2のステートレスルールグループは L3/L4 のみを評価し FQDN を解釈できず、CDN の可変 IP を追従できないため運用不能。
選択肢3の TLS インスペクションは全 HTTPS を復号する構成で、クライアントへの CA 証明書配布や鍵管理が必要となり「追加運用負荷を避けたい」要件に反する。
選択肢4の Suricata IP ベース flow ルールは解決時点の IP に固定され、CDN の IP 変化に追従できないため要件を満たさない。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →