ある金融機関は、セキュリティポリシーに基づき、VPC内のワークロードからインターネットへの送信HTTPS（TLS：Transport Layer Security、トランスポート層セキュリティ）トラフィックをすべて復号し

Question

ある金融機関は、セキュリティポリシーに基づき、VPC内のワークロードからインターネットへの送信HTTPS（TLS：Transport Layer Security、トランスポート層セキュリティ）トラフィックをすべて復号して検査し、クレジットカード番号などの機密データの流出を検知する必要があります。AWS Network Firewallを使用してこの要件を実現するための構成として正しいものはどれですか？

Accepted Answer

正解: AWS Network FirewallのTLSインスペクション設定を作成し、ACM（AWS Certificate Manager）でCA証明書をプロビジョニングしてTLSを復号・再暗号化する。ステートフルルールグループ（Suricata：オープンソースのネットワーク脅威検知エンジン、互換のIPSルール）でペイロードを検査し、EgressサブネットにFirewallエンドポイントを配置してルートテーブルでトラフィックをFirewallに向ける。AWS Network FirewallはTLSインスペクション機能をサポートしており、送信トラフィックの復号・検査・再暗号化が可能です。TLSインスペクションにはCA証明書（ACMで管理）が必要です。FirewallはTLSプロキシとして動作し、宛先サーバーの証明書をCA証明書で署名した証明書に差し替えることでTLSを終端して復号します。復号されたペイロードはSuricata互換のステートフルIPS（Intrusion Prevention System：不正侵入防止システム）ルールで検査できます。

選択肢BのSNIを利用したドメインフィルタリングはTLSを復号せずにホスト名のみを確認する方法です。ペイロードの内容（機密データのパターン）は検査できないため、要件を満たしません。

選択肢CのAWS WAFはALB・CloudFront・API GatewayなどのAWSエンドポイントに統合されるWebアプリケーションファイアウォールであり、VPCからの汎用的な送信トラフィックを復号・検査する機能はありません。

選択肢DのTLSインスペクション設定にはACMのCA証明書が必要であり、IAM証明書ストアは対象外です。またステートレスルールはパケットヘッダーの5タプルのみを評価するため、TLS復号後のペイロード内容を検査できません。

Answer

AWS Network Firewallのステートフルルールグループにドメインリストルールを追加し、SNI（Server Name Indication：TLSハンドシェイク時にサーバー名を示す拡張フィールド）を利用して許可ドメインのみにフィルタリングする。TLSの復号は行わずペイロード検査は実施しない — AWS Network Firewall のSNIベースのドメインリストルールはTLSを復号せずにホスト名のみを確認する方法です。ペイロードの内容（機密データのパターン）は検査できないため、要件を満たしません。

Answer

AWS WAFとNetwork Firewallを組み合わせ、WAFのカスタムルールでHTTPSペイロードのデータパターンマッチングを行い、Network Firewallで境界防御を担当させる — AWS WAF はALB・CloudFront・API GatewayなどのAWSエンドポイントに統合されるWebアプリケーションファイアウォールであり、VPCからの汎用的な送信トラフィックを復号・検査する機能はありません。

Answer

AWS Network FirewallのTLSインスペクション設定を作成し、IAM証明書ストアにサーバー証明書をアップロードして設定する。ステートレスルールグループ（5タプル：送信元/宛先IPアドレス・ポート・プロトコルの5要素でパケットを識別する方式）でトラフィックをフィルタリングする — AWS Network Firewall のTLSインスペクション設定はACMのCA証明書が必要であり、IAM証明書ストアは対象外です。またステートレスルールはパケットヘッダーの5タプルのみを評価するため、TLS復号後のペイロード内容を検査できません。

解説

解説