解説

AWS Network FirewallはTLS検査設定（TLS Inspection Configuration）機能をネイティブにサポートしており、既存のFirewall展開を変更せずにHTTPSトラフィックの復号・内容検査・再暗号化（TLSインターセプト）が可能である。設定手順は以下の通りである。 ①AWS Certificate Manager（ACM）でプライベートCAを使用したCA証明書を作成する ②Network Firewallコンソールで証明書ARNを指定したTLS検査設定を作成する ③既存のFirewallポリシーにTLS検査設定を関連付ける これにより、ステートフルルールエンジンが復号済みHTTPSペイロードに対してSuricataルール（マルウェアシグネチャ・DLPパターン等）を適用できるようになり、既存アーキテクチャへの変更を最小限に抑えながら要件を実現できる。 選択肢BのSNIベースのドメインフィルタリングはTLSを復号せずに宛先ドメインを識別できるが、暗号化されたペイロードのマルウェアシグネチャや機密データパターンを検査することはできない。 選択肢CのApplication Load Balancerを使ったSSLオフロード構成は、ルートテーブルやアーキテクチャを大幅に変更する必要があり既存展開維持の要件に反する。 選択肢DのGateway Load Balancerとサードパーティアプライアンスの追加は技術的には有効だが、既存Network Firewallとは別にGWLBインフラを追加する大規模なアーキテクチャ変更が必要であり、ネイティブTLS検査機能の活用より複雑でコストが高い。