Upgrade to Pro — share decks privately, control downloads, hide ads and more …

新サービス AWS Network Firewall Proxy の紹介

Sponsored · SiteGround - Reliable hosting with speed, security, and support you can count on.

新サービス AWS Network Firewall Proxy の紹介

AWSの新サービス AWS Network Firewall Proxy に関して、概要および検証結果を紹介する資料となります。
JAWS-UG横浜 #97 AWS re:Invent 2025 re:Cap Securityの発表で使用いたしました。

Avatar for sakaekatsuto

sakaekatsuto

February 01, 2026
Tweet

Other Decks in Technology

Transcript

  1. 2 © DENTSU SOKEN INC. 自己紹介 坂江 克斗 学部 趣味

    理工学研究科(建築⇒制御工学) 読書・勉強、自然を見る(旅行・散歩) 筋トレ、バレー さかえ かつと 配属 株式会社電通総研 金融IT本部 2年目 Japan AWS Jr. Champions選出 に向けても活動中
  2. 4 © DENTSU SOKEN INC. 概要 ◼ AWS re:Invent 2025

    - AWS Network Firewall Proxy (NET216) ➢ 上記講演にて発表 ( https://youtu.be/1u6GP46C9oI?si=EIrom8DPDbXLlqca ) Akshay Choudhry Principal Product Manager, VPC Tom Adamski Principal Solution Architect, VPC
  3. 5 © DENTSU SOKEN INC. 概要 ◼ AWS Network Firewall

    Proxy ➢ AWSマネージドなHTTP / HTTPS通信専用のフォワードプロキシ ➢ 現在プレビュー中(2026年1月時点) • オハイオリージョン (us-east-2)でのみ使用可能 • 無料、ただしプロキシの作成数上限が1個 ➢ AWSのアウトバウンドセキュリティサービスに新規追加! サービス名 レイヤー 役割 Amazon Route53 DNS Resolver Firewall DNS ドメインフィルタ Security Group, Network ACL L3-L4 ファイアウォール(簡素) Gateway Load Balancer + 3rd party アプライアンス L3-L7 ファイアウォール(高機能: IDS/IPS) AWS Network Firewall L3-L7 ファイアウォール(高機能: IDS/IPS) 【New】AWS Network Firewall Proxy L3-L7 ( + DNS) HTTP/HTTPS専用 フォワードプロキシ
  4. 6 © DENTSU SOKEN INC. 概要 ◼ AWS Network Firewall

    Proxy ➢ AWSマネージドなHTTP / HTTPS通信専用のフォワードプロキシ ➢ 現在プレビュー中(2026年1月時点) • オハイオリージョン (us-east-2)でのみ使用可能 • 無料、ただしプロキシの作成数上限が1個 ➢ AWSのアウトバウンドセキュリティサービスに新規追加! サービス名 レイヤー 役割 Amazon Route53 DNS Resolver Firewall DNS ドメインフィルタ Security Group, Network ACL L3-L4 ファイアウォール(簡素) Gateway Load Balancer + 3rd party アプライアンス L3-L7 ファイアウォール(高機能: IDS/IPS) AWS Network Firewall L3-L7 ファイアウォール(高機能: IDS/IPS) 【New】AWS Network Firewall Proxy L3-L7 ( + DNS) HTTP/HTTPS専用 フォワードプロキシ サブネット分割・ルートテーブルと合わせた ネットワークセキュリティのベース
  5. 7 © DENTSU SOKEN INC. 概要 ◼ AWS Network Firewall

    Proxy ➢ AWSマネージドなHTTP / HTTPS通信専用のフォワードプロキシ ➢ 現在プレビュー中(2026年1月時点) • オハイオリージョン (us-east-2)でのみ使用可能 • 無料、ただしプロキシの作成数上限が1個 ➢ AWSのアウトバウンドセキュリティサービスに新規追加! サービス名 レイヤー 役割 Amazon Route53 DNS Resolver Firewall DNS ドメインフィルタ Security Group, Network ACL L3-L4 ファイアウォール(簡素) Gateway Load Balancer + 3rd party アプライアンス L3-L7 ファイアウォール(高機能: IDS/IPS) AWS Network Firewall L3-L7 ファイアウォール(高機能: IDS/IPS) 【New】AWS Network Firewall Proxy L3-L7 ( + DNS) HTTP/HTTPS専用 フォワードプロキシ TCP/UDPに対して細かくフィルタ・制御したい場合に追加 ⇒ 要件に対する性能とコスト(高)の考慮が重要
  6. 8 © DENTSU SOKEN INC. 概要 ◼ AWS Network Firewall

    Proxy ➢ AWSマネージドなHTTP / HTTPS通信専用のフォワードプロキシ ➢ 現在プレビュー中(2026年1月時点) • オハイオリージョン (us-east-2)でのみ使用可能 • 無料、ただしプロキシの作成数上限が1個 ➢ AWSのアウトバウンドセキュリティサービスに新規追加! サービス名 レイヤー 役割 Amazon Route53 DNS Resolver Firewall DNS ドメインフィルタ Security Group, Network ACL L3-L4 ファイアウォール(簡素) Gateway Load Balancer + 3rd party アプライアンス L3-L7 ファイアウォール(高機能: IDS/IPS) AWS Network Firewall L3-L7 ファイアウォール(高機能: IDS/IPS) 【New】AWS Network Firewall Proxy L3-L7 ( + DNS) HTTP/HTTPS専用 フォワードプロキシ 明示的なプロキシであり、クライアント設定に依存 ⇒ベースのネットワークセキュリティが担保された上で使用
  7. 10 © DENTSU SOKEN INC. アーキテクチャ ◼ AWS Network Firewall

    Proxy(小規模) ➢ NAT ゲートウェイと統合されたプロキシが作成されます ➢ クライアントは専用のインターフェースVPCエンドポイント経由でプロキシへアクセスします 後ほど説明する TLSインターセプト機能に使用します (TLSセッションの分断) Securing Egress Architectures with Network Firewall Proxyより引用 https://aws.amazon.com/jp/blogs/networking-and-content-delivery/securing-egress-architectures-with-network-firewall-proxy/
  8. 11 © DENTSU SOKEN INC. アーキテクチャ ◼ AWS Network Firewall

    Proxy(大規模) ➢ マルチVPCのハブ&スポーク構成を想定 ➢ Private Link構成だけでなく、Transit GatewayやCloud WANによる構成も可能です Securing Egress Architectures with Network Firewall Proxyより引用 https://aws.amazon.com/jp/blogs/networking-and-content-delivery/securing-egress-architectures-with-network-firewall-proxy/
  9. 12 © DENTSU SOKEN INC. 動作イメージ Securing Egress Architectures with

    Network Firewall Proxyより引用 https://aws.amazon.com/jp/blogs/networking-and-content-delivery/securing-egress-architectures-with-network-firewall-proxy/ ◼ 評価プロセス ① Pre-DNS クライアントとのHTTPセッションの 作成前に評価 ② Pre-Request 宛先へのHTTPリクエスト前に評価 ③ Post-Response 宛先からのHTTPレスポンス後に評価
  10. 13 © DENTSU SOKEN INC. 動作イメージ Securing Egress Architectures with

    Network Firewall Proxyより引用 https://aws.amazon.com/jp/blogs/networking-and-content-delivery/securing-egress-architectures-with-network-firewall-proxy/ ◼ TLSインターセプト プライベートCAを基に TLS/HTTPセッションを個別に作成する ⇒ HTTPヘッダが評価可能に!
  11. 15 © DENTSU SOKEN INC. リソースの詳細 ◼ ルール・ルールグループ ➢ ルールグループを箱として、中にルールを追加していきます

    【評価フェーズ】Pre-DNS / Pre-request / Post-response 【評価条件キー】(右に記載) 【評価演算子 】StringLike, StringEquals等多数 【評価値 】任意の値 ※リスト指定可 ルール 1 ルール 2 ルール 3 ルールグループ ルール 4
  12. 16 © DENTSU SOKEN INC. リソースの詳細 ◼ ルール・ルールグループ ➢ ルールグループを箱として、中にルールを追加していきます

    【評価フェーズ】Pre-DNS / Pre-request / Post-response 【評価条件キー】(右に記載) 【評価演算子 】StringLike, StringEquals等多数 【評価値 】任意の値 ※リスト指定可 ルール 1 ルール 2 ルール 3 ルールグループ ルール 4 • request:SourceAccount:送信元のAWSアカウントID • request:SourceVpc:送信元のVPCID • request:SourceVpce:送信元のVPCエンドポイントID • request:Time • request:SourceIp • request:DestinationIp • request:SourcePort • request:DestinationPort • request:Protocol • request:DestinationDomain:DNSクエリ or SNI • request:Http:Uri • request:Http:Method • request:Http:UserAgent • request:Http:ContentType • request:Http:Header/{CustomHeaderName} • response:Http:StatusCode • response:Http:ContentType • response:Http:Header/{CustomHeaderName} リクエスト用の条件キー レスポンス用の条件キー ※ HTTPヘッダに関しては、TLSインターセプト有効時のみ設定可能
  13. 17 © DENTSU SOKEN INC. リソースの詳細 ◼ プロキシ設定・プロキシ ➢ プロキシ設定には以下を設定

    • 1つ以上のルールグループ • Pre-DNS / Pre-request / Post-response それぞれの デフォルトアクション ➢ プロキシには以下を設定 • 1つのプロキシ設定 • プロキシがリッスンするHTTP/HTTPSポート • 紐付け先のNATゲートウェイ • ログ出力先 • Pre-DNS / Pre-request / Post-response 個別設定可能 • Cloudwatch, S3, Kinesis Data Firehouse • プライベートCA (TLSインターセプト有効時) • 証明書テンプレート・リソースポリシーに 下位CA証明書を発行する権限が必須
  14. 18 © DENTSU SOKEN INC. リソースの詳細 ◼ プロキシ設定・プロキシ ➢ プロキシ設定には以下を設定

    • 1つ以上のルールグループ • Pre-DNS / Pre-request / Post-response それぞれの デフォルトアクション ➢ プロキシには以下を設定 • 1つのプロキシ設定 • プロキシがリッスンするHTTP/HTTPSポート • 紐付け先のNATゲートウェイ • ログ出力先 • Pre-DNS / Pre-request / Post-response 個別設定可能 • Cloudwatch, S3, Kinesis Data Firehouse • プライベートCA (TLSインターセプト有効時) • 証明書テンプレート・リソースポリシーに 下位CA証明書を発行する権限が必須 プロキシは、紐付けたCAから下位CA証明書を発行し、 この下位CA証明書を用いてエンドエンティティ証明書を 発行すると考えられます
  15. 19 © DENTSU SOKEN INC. 検証 ◼ 実装方針 ➢ 右図に示すアーキテクチャを再現

    • EC2に明示的なプロキシの設定をして検証 ➢ Network Firewall Proxyの設定 • プライベートCAを設定(TLSインターセプト) • ルール • Pre-DNS • ドメイン tech.dentsusoken.com をDeny • デフォルトアクションはAllow • Pre-Request • URI */files/* をDeny • デフォルトアクションはAllow • Post-Response • レスポンスステータス 404 をDeny • デフォルトアクションはAllow • ログ出力先はCloudWatch Securing Egress Architectures with Network Firewall Proxyより引用 https://aws.amazon.com/jp/blogs/networking-and-content- delivery/securing-egress-architectures-with-network-firewall-proxy/
  16. 23 © DENTSU SOKEN INC. 検証 ◼ EC2の設定 ➢ 明示的なプロキシ設定

    ➢ プライベートCAの使用に伴い、トラストアンカーの設定は必須(Terraform) • trust listコマンドで設定の反映を確認
  17. 24 © DENTSU SOKEN INC. 検証 ◼ EC2からcurlしてみる ➢ Pre-DNS:ドメイン

    tech.dentsusoken.com をDeny 想定通り403で拒否 CloudWatchログ
  18. 25 © DENTSU SOKEN INC. 検証 ◼ EC2からcurlしてみる ➢ Pre-Request:URI

    */files/* をDeny CloudWatchログ 想定通り403で拒否
  19. 27 © DENTSU SOKEN INC. まとめ ◼ 調査・検証を経て ➢ AWS

    Network Firewall Proxy は、HTTP/HTTPS専用のマネージドなフォワードプロキシ ➢ シンプルかつマネージドで、構築・運用の負荷は低い ➢ 正式リリース時のコストや、TLSインターセプト利用時の証明書の運用面は検討ポイント ➢ 今後のマネージドルールの追加等に期待 ➢ 他のアウトバウンドセキュリティサービスとの要件に応じた、主軸の使い分け • ドメインベースの制御には Route 53 Resolver DNS Firewall • UDP/TCP を含めた広範な通信評価が必要な場合には Network Firewall • HTTP/HTTPS に限定した通信制御には Network Firewall Proxy • ※ 他のネットワークセキュリティサービス等と組み合わせた多層防御が前提。 今回発表したAWS Network Firewall Proxyに関する内容はテックブログに投稿済みのため、 割愛した実装や詳細部分に関してはそちらをご参照ください