ANSネットワークのセキュリティ、コンプライアンス、ガバナンス
ある製造業の企業は、複数のVPCで稼働するEC2ベースのバッチ処理ワークロードから、インターネット上の許可された約30個のFQDN（ソフトウェア更新サイトやSaaS API）へのHTTPS通信のみを許可し、それ以外の外向き通信を遮断したい。要件は、(1) 暗号化されたHTTPSトラフィックを復号せずにドメイン単位でフィルタリングできること、(2) 集約用VPCで一元的に運用できること、(3) 宛先IPアドレスが動的に変化しても許可ルールが破綻しないこと、である。これらを満たす構成はどれか。
AAWS Network Firewall のステートフルルールグループでドメインリスト型ルールを作成し、TLS の SNI を用いて許可 FQDN への HTTPS のみを許可する
✓ 正解
ステートフルルールグループのドメインリスト型ルールは、TLS ハンドシェイク中の SNI（HTTP の場合は Host ヘッダー）を参照するため、暗号化を復号せずに FQDN 単位でフィルタリングできる。集約 VPC に配置して一元運用でき、宛先 IP の変動の影響も受けず全要件を満たす。
BAWS Network Firewall のステートレスルールグループで、許可 FQDN に対応する宛先 IP アドレスとポート 443 を指定して通信を許可する
宛先 IP アドレスとポートで許可するステートレス方式は、FQDN ではなく固定 IP を前提とするため、SaaS や CDN のように宛先 IP が動的に変化する環境では許可ルールが破綻し、要件(3)を満たせない。
CAWS Network Firewall の TLS インスペクション設定を有効にして通信を復号し、復号後のホストヘッダーで FQDN を照合して許可する
TLS インスペクションは通信を復号して検査する方式であり、復号用証明書の管理と処理オーバーヘッドが発生する。「復号せずにフィルタリングする」という要件(1)に明確に反するため不適切。
DAWS Network Firewall のステートフルルールグループに Suricata 形式ルールを記述し、許可 FQDN を名前解決した IP アドレスへの通信のみを許可する
Suricata ルールで FQDN を事前に名前解決した IP に変換して照合する方式は、DNS 応答が変わるたびに IP が変化すると一致しなくなる。動的 IP に追従できず要件(3)を満たせない。
解説
AWS Network Firewall のステートフルルールグループには「ドメインリスト」型ルールがあり、TLS ハンドシェイクの SNI フィールド（平文部分）を参照して FQDN 単位で許可/拒否を判定する。トラフィックを復号する必要がなく、宛先 IP が変動しても FQDN ベースで判定するため破綻しない。集約 VPC に Network Firewall を配置すれば、複数 VPC の外向き通信を一元的に検査できる。
選択肢の AWS Network Firewall ステートレスルールグループは、IP/ポート/プロトコルの単純照合のみで FQDN を扱えず、動的 IP に対応できない。
選択肢の TLS インスペクションは通信を復号するため「復号しない」要件に反する。
選択肢の Suricata ルールで IP に変換する方式は、DNS 応答変化に追従できず動的 IP 環境で破綻する。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでANSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →