AWS Organizationsで30以上のアカウントを管理する企業が、各VPCからインターネットへの送信トラフィックに対してFQDNベースの許可リスト制御と既知マルウェアC2シグネチャのブロックを実装したい。セキュリ

Question

AWS Organizationsで30以上のアカウントを管理する企業が、各VPCからインターネットへの送信トラフィックに対してFQDNベースの許可リスト制御と既知マルウェアC2シグネチャのブロックを実装したい。セキュリティチームが全アカウントのポリシーを一元管理し、新規アカウントにも自動適用したい。要件を満たす構成はどれか。

Accepted Answer

正解: 集中検査VPCにAWS Network Firewallをデプロイし、FQDNステートフルルールとSuricataシグネチャルールを設定。Firewall ManagerでOrganizations全体への自動配布ポリシーを適用する。AWS Network FirewallはFQDNフィルタリングとSuricataベースIPSルールを提供する。Firewall ManagerによりOrganizations新規アカウントへの自動適用が可能で、集中検査アーキテクチャで管理を効率化できる。

Answer

Amazon Route 53 Resolver DNS FirewallでFQDN許可リストを作成して未登録ドメインのDNS解決を遮断し、Firewall ManagerのDNS Firewallポリシーで全アカウントに自動配布する — Amazon Route 53 Resolver DNS FirewallはDNS解決レイヤーのみで制御するため、IPアドレス直接指定のC2通信はバイパスされ、シグネチャベースの通信ペイロード検査機能を持たない。

Answer

Amazon Route 53 Resolver DNS FirewallでC2ドメインブロックリストとFQDN許可リストを組み合わせて設定し、Firewall ManagerのDNS Firewallポリシーで全アカウントに自動配布してIPSシグネチャの代替とする — Amazon Route 53 Resolver DNS FirewallはDNSクエリのみを遮断でき、マルウェアC2シグネチャの通信ペイロード検査はできないためIPSの代替にはならず要件を満たせない。

Answer

各VPCにAWS Network Firewallを手動デプロイし、FQDNステートフルルールとSuricataシグネチャルールを設定する。新規アカウントにはCloudFormationで自動プロビジョニングする — AWS Network Firewallの手動デプロイとCloudFormationによるプロビジョニングは、Organizations新規アカウントを自動検知してファイアウォールを適用する仕組みを持たず自動適用要件を満たせない。

解説