ある企業は、VPC内のEC2インスタンスがマルウェアに感染した場合に備え、DNSレベルでのC2（コマンド&コントロール）通信遮断を実装したいと考えています。要件は以下の通りです。
・AWSが管理する脅威インテリジェンスド

Question

ある企業は、VPC内のEC2インスタンスがマルウェアに感染した場合に備え、DNSレベルでのC2（コマンド&コントロール）通信遮断を実装したいと考えています。要件は以下の通りです。
・AWSが管理する脅威インテリジェンスドメインリスト（マルウェア・ボットネット等）をそのまま利用したい
・VPC内のすべてのRoute 53 Resolver経由のDNSクエリに適用する
・ブロック対象ドメインへのクエリにNXDOMAINを返す
・独自のカスタムブラックリストドメインも追加できること
・ルールの適用状況をCloudWatch Logsで監視できること
最適なソリューションはどれか？

Accepted Answer

正解: Route 53 Resolver DNS FirewallでAWS管理ドメインリスト（AWSManagedDomainsMalwareDomainList等）を使用したルールグループを作成し、対象VPCに関連付けてCloudWatch Logsへのログ記録を有効化する。Route 53 Resolver DNS Firewallは、VPC内のRoute 53 Resolverを通過するDNSクエリをフィルタリングするマネージドサービスです。AWSが継続的に更新・管理する脅威インテリジェンスドメインリスト（AWSManagedDomainsMalwareDomainList、AWSManagedDomainsBotnetCommandandControlなど）を利用できるため、独自での脅威リスト管理が不要です。
DNS Firewallルールグループを作成し対象VPCに関連付けることで、そのVPC内のすべてのRoute 53 Resolver経由DNSクエリに適用されます。ブロックアクションとしてNXDOMAINを返す設定が選択可能で、AWS管理リストに加えてカスタムドメインリストも追加できます。Route 53 Resolver Query Logsを有効化することでCloudWatch Logsへの記録が可能です。

選択肢BのAWS Network Firewallはドメインリストルールをサポートしますが、DNSトラフィックをNetwork Firewallエンドポイントへ誘導するルートテーブル設定が必要で構成が複雑になります。また、AWS管理の脅威インテリジェンスリストをDNSフィルタリングにネイティブ利用する機能は持ちません。
選択肢CのEC2 DNSフォワーダーは独自実装が必要で、EC2の可用性管理・スケーリング・脅威リストの更新といった運用負荷が大きく、マネージドサービスの利点がありません。
選択肢DのAWS WAFはHTTP/HTTPSのL7フィルタリングサービスであり、DNSプロトコル（UDP/TCP 53）のクエリフィルタリングには対応していません。

Answer

AWS Network FirewallのStatefulルールグループにドメインリストルールを作成し、VPCのルートテーブルでDNSトラフィック（UDP/TCP 53）をNetwork Firewallエンドポイントへ誘導する — AWS Network FirewallはドメインリストルールによるDNSフィルタリングをサポートしますが、DNSトラフィックをFirewallエンドポイントへ誘導するルートテーブル設定が必要で構成が複雑になります。AWS管理脅威インテリジェンスリストをDNSフィルタリングにネイティブ利用する機能もありません。

Answer

VPC内にDNSフォワーダーEC2インスタンスを配置し、Pi-hole等のDNSフィルタリングソフトウェアでマルウェアドメインリストをブロックする — EC2上のDNSフィルタリングソフトウェアによる方法は、EC2の可用性管理・スケーリング・脅威リストの継続的更新といった運用負荷が大きく、マネージドサービスを活用する場合と比較して管理コストが非常に高くなります。

Answer

AWS WAFのRegex Pattern Setルールを使用してドメインパターンを定義し、CloudFrontディストリビューションに関連付けてDNS応答をフィルタリングする — AWS WAFはHTTP/HTTPSのアプリケーション層（L7）をフィルタリングするサービスであり、DNSプロトコル（UDP/TCP 53）のクエリフィルタリングには対応していません。VPC内のDNSレベルでのC2通信遮断には利用できません。

解説

解説