ある企業は AWS Organizations を使用して 20 のメンバーアカウントを管理しています。セキュリティチームは、全アカウントの Application Load Balancer と Amazon Clou

Question

ある企業は AWS Organizations を使用して 20 のメンバーアカウントを管理しています。セキュリティチームは、全アカウントの Application Load Balancer と Amazon CloudFront ディストリビューションに対して統一した AWS WAF ルールを適用し、新しいアカウントが追加された際も自動的に同じルールが適用されるようにしたいと考えています。運用負荷が最も低いソリューションはどれですか？

Accepted Answer

正解: AWS Firewall Manager で WAF ポリシーを作成し、Organizations をスコープに設定する。対象リソースへの WAF ルール自動適用・強制が行われ、新規アカウントにも自動展開される。AWS Firewall Manager は AWS Organizations と統合し、WAF・Shield Advanced・セキュリティグループ・Network Firewall などのポリシーを組織全体に一元的に自動適用・強制するサービスです。一度ポリシーを作成すれば既存のアカウントとリソースへ即時適用され、新しいアカウントが組織に追加された際も同じポリシーが自動展開されます。各アカウントへの個別設定作業が不要になり、運用負荷が大幅に削減されます。

選択肢AのAWS Configは設定コンプライアンスの評価・通知には有効ですが、WAF を自動適用する機能を持たず、手動対応が必要なため継続的な運用負荷が発生します。
選択肢BのAWS Firewall Manager は Organizations スコープで WAF ポリシーを一元管理し、既存・新規アカウントへの自動展開と強制適用を実現できます。運用負荷が最も低く、この問題の要件を最も効率的に満たします。
選択肢CのCloudFormation StackSets はリソースのデプロイ自動化に使えますが、新規アカウント追加時のスタックインスタンス追加や既存リソースのドリフト修復が自動化されず、Firewall Manager より運用負荷が高くなります。
選択肢DのAWS Security Hub はセキュリティ発見事項の集約・優先付けに特化したサービスで、WAF ポリシーを直接適用・管理する機能を持ちません。各アカウントへの Lambda 実装も保守コストが高くなります。

Answer

AWS Config の管理ルールを使用して WAF が関連付けられていないリソースを検出し、SNS で通知する。各アカウントのオペレーターが通知を確認して手動で WAF を設定する — AWS Config は設定状態の評価と通知には有効だが、WAF ルールを自動的に適用する機能を持たない。検出後は手動オペレーションが必要なため、アカウント数が増えるほど運用負荷が増大する。

Answer

CloudFormation StackSets を使用して WAF WebACL を全メンバーアカウントにデプロイする。新しいアカウント追加時はスタックインスタンスを手動で追加して WAF を適用する — StackSets でデプロイは自動化できるが、新規アカウント追加時のスタックインスタンス追加が手動になることや既存リソースのドリフト修復が自動化されないため、Firewall Manager と比較して運用負荷が高い。

Answer

AWS Security Hub のカスタムアクションで WAF 未設定リソースを検出し、Lambda 関数で自動的に WAF をアタッチするワークフローを各メンバーアカウントに個別に実装する — Security Hub はセキュリティ発見事項の可視化・集約サービスで、WAF ポリシーを直接管理する機能がない。Lambda によるカスタム実装を各アカウントに展開・保守する必要があり、最も運用負荷が高い選択肢となる。

解説

解説