セキュリティグループとネットワークアクセスリストを併用して、上手に通信制御を行うためのベストプラクティス

セキュリティグループとネットワークアクセスリストを併用して、上手に通信制御を行うためのベストプラクティス Shota SHIRATORI(NW-JAWS) @whitebird_sp #NW_JAWS ※本資料に記載の内容は2025年5月19日12:00(JST)時点のものとなります ※本資料の見解・知見については所属する組織を代表するものではありません

自己紹介所属 NTT東日本白鳥翔太業務プロダクト開発シニアスペシャリスト（クラウド関連プロダクト）経歴 2009年入社ネットワークエンジニア～セールス～現職
保有資格しらとりしょうた好きなAWSサービス Amazon VPC ネットワークスペシャリスト情報セキュリティスペシャリスト 2020/2021/2022 APN AWS Top Engineers 2023/2024 Japan AWS Top Engineers 2023/２０２４ Japan AWS All Certifications Engineers 2024 AWS Ambassadors 好きな言葉 Knowledge is Power./Insist on the Highest Standards. Any sufficiently advanced technology is indistinguishable from magic. コミュニティ AWS Ambassador - Certification All-Star Award 2024/2025 今ハマってるAWS関連 Amazon Q Developer for CLIでひたすら楽して構築 @whitebird_sp #NW_JAWS

本日お話しすること・しないこと • 本日お話しすること • セキュリティグループとNACLについて • 本日お話ししないこと @whitebird_sp #NW_JAWS

本資料のベース資料 https://business.ntt-east.co.jp/content/cloudsolution/ih_column-187.html @whitebird_sp #NW_JAWS ・当社サイトに公開済みのコラムを発表用にリファインしたものになります。

本題 @whitebird_sp #NW_JAWS

セキュリティグループとネットワークアクセスリスト @whitebird_sp #NW_JAWS ・VPC内で通信制御を行う機能セキュリティグループとネットワークアクセスリスト（NACL）どちらも送信元とあて先を見て、通信許可するかどうか判断する機能・・・似ている… Powered
by Amazon Nova Canvas

セキュリティグループ① @whitebird_sp #NW_JAWS ・セキュリティグループは、関連付けられたリソースの通信制御を行う・複数のリソースに関連付けることも可能・送信先（アウトバウンドルールの場合）送信元（インバウンドルールの場合）およびポートを指定・ホワイトリスト型で、拒否ルールを設定することは不可・インバウンド（外部のリソースから関連付けたリソース）方向と、アウトバウンド（関連付けたリソースから外部のリソース）方向の二つで設定が可能・すべてのルールを評価して通信許可を行いますので、ルールにない通信は拒否
・ステートフル型なので、戻りの通信に対して明示的に許可は不要・複数のVPCでセキュリティグループを共有することも可能。（2024年アップデート）

セキュリティグループ② @whitebird_sp #NW_JAWS ・絵にすると…こう。

NACL ① @whitebird_sp #NW_JAWS •NACLはサブネットに関連付け。デフォルトでは、すべてのトラフィックが許可。 •サブネットに割り当てられたすべてのインスタンスにルールが適用。 •セキュリティグループと違い、拒否ルールを作ることも可能。 •インバウンド（外部のリソースから関連付けたサブネット）方向と、アウトバウンド（関連付けたサブネットから外部のリソース）方向の二つで設定が可能。 •NACLルールは1から32,766までの番号が設定され、低い番号のルールから評価。トラフィックがルールに一致すると、そのルー
ルが適用されそのあとの追加のルールは評価なし •NACLルールに一つも一致しなかった場合は、トラフィックが拒否（暗黙の拒否） •NACLルールはトラフィックがサブネット内でルーティングされる時ではなく、サブネットに出入りするときに評価。 •ステートレスのため、送信先・送信元でそれぞれ使うIPアドレス、ポート、プロトコルについて許可・拒否を設定。 •NACLはRoute 53 Resolverで送受信されるDNSリクエストをフィルターすることは不可。DNSリクエストをフィルターする際はRoute 53 Resolver DNS Firewallを使用 •その他、NACLは以下の送受信されるトラフィックをフィルターすることは不可 •Amazon DNS •Amazon DHCP •Amazon EC2 インスタンスメタデータ •Amazon ECS タスクメタデータエンドポイント •Windows インスタンスのライセンスアクティベーション •Amazon Time Sync Service (NTPサービス) •VPCルータによる予約済みIPアドレス

NACL ② @whitebird_sp #NW_JAWS ・絵にすると…こう。

並べて比較セキュリティグループネットワークACL リソースレベルで動作サブネットレベルで動作リソースと関連付けられている場合に適用関連付けられているサブネットにあるすべてのリソースに適用許可ルールのみ動作許可・拒否ルール両方で動作
すべてのルールを評価して、トラフィックを許可低い番号のルールから順に評価ステートフルステートレス @whitebird_sp #NW_JAWS

SGとNACLのベストプラクティスの前に… ・Well-Architected Frameworkのセキュリティの柱 SEC05-BP01 ネットワークレイヤーを作成するワークロードコンポーネントをそのデータの機密度とアクセス要件に応じて論理的にグループ化し、そのグループに基づいてネットワークトポロジをさまざまなレイヤーに分割します。インターネットからのインバウンドアクセスを必要とするコンポーネント (公開ウェブエンドポイントなど) と、内部アクセスのみを必要とするコンポーネント (データベースなど)
は区別します。期待される成果:ネットワークのレイヤーは、ワークロードにおける ID の認証と認可の戦略を補完する多層防御セキュリティアプローチに不可欠な部分です。データの機密度とアクセス要件に応じてレイヤーが配置され、トラフィックフローと統制のメカニズムが適切に機能しています。 SEC05-BP02 ネットワークレイヤー内のトラフィックフローを制御するネットワークのレイヤー内でさらにセグメンテーションを行い、各ワークロードに必要なフローのみにトラフィックを制限します。まず、インターネットや他の外部システムからワークロードや環境へのトラフィック (North-South トラフィック) の制御に着目します。その後、さまざまなコンポーネントとシステム間のフロー (East-West トラフィック) を確認します。期待される成果:ワークロードのコンポーネントが相互通信や、クライアントや依存先のその他のサービスとの通信に必要とするネットワークフローのみを許可します。設計では、パブリックとプライベートの送受信、データ分類、地域の規制、プロトコル要件などが考慮されます。可能な限り、最小特権の原則に基づく設計の一環として、ネットワークピアリングよりもポイントツーポイントフローを優先します。 https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/security-pillar/protecting-networks.html @whitebird_sp #NW_JAWS

SGとNACLのベストプラクティス・SG NACLのベストプラクティスは次の通り Webサーバー、データベースなど、役割ごとにサブネットを分割する可能な限りSGとNACLは両方使用する（レイヤーと多層防御）サブネットとNACLの命名規則やタグをそろえる一つのNACLに多数のルールを入れすぎない AWSのマネージドリソースと通信やインターネット上のリソースと通信を行うサブネットにおいて、IPアドレス範囲の特定が難しい場合は最低限プロトコルのみを許可する @whitebird_sp
#NW_JAWS

SGとNACLのアンチパターン・SG NACLのアンチパターンもたくさんある VPC内部の通信をすべて許可している受信トラフィックと送信トラフィックのいずれかに制御を適用し、両方に適用はしていない０．０．０．０/0の許可をEC2インスタンスに付与(基本ALBのみ) 多数のルールを入れすぎて依存性がわからなくなっている（APとDBのSGを同じものを使う、など） @whitebird_sp #NW_JAWS

SGとNACLに起因するトラブルシューティング VPC Reachability Analyzer AWSSupport-ConnectivityTroubleshooter リソース間の到達性の確認 SSM RunCommandの一つ IPアドレス間

セキュリティグループとネットワークアクセスリストを併用して、上手に通信制御を行うためのベストプ...

セキュリティグループとネットワークアクセスリストを併用して、上手に通信制御を行うためのベストプラクティス

Shota Shiratori

More Decks by Shota Shiratori

Featured

Transcript