Route 53 Resolver DNS Firewall の仕組み

Route 53 Resolver DNS Firewall を使用すると、サイトへのアクセスを制御し、Route 53 Resolver を介して DNS から送信される DNS クエリに対する VPC レベルの脅威をブロックできます。DNS Firewall では、VPCs に関連付けるルールグループでドメイン名フィルタリングルールを定義します。許可またはブロックするドメイン名のリスト、または DNS トンネリングとドメイン生成アルゴリズム (DNS) ベースの脅威からの保護を提供する Route 53 Resolver DGA Firewall Advanced ルールを指定できます。ブロックする DNS クエリのレスポンスをカスタマイズできます。ドメインリストを含むルールの場合、MX レコードなどの特定のクエリタイプを許可するようにルールを微調整することもできます。

DNS Firewall はドメイン名のみをフィルタリングします。このドメイン名から、ブロックされる IP アドレスを調べることはできません。さらに、DNS Firewall は DNS トラフィックをフィルタリングしますが、HTTPS、Word、SSH、FTP などの他のアプリケーションレイヤープロトコルTLSはフィルタリングしません。

Route 53 Resolver DNS Firewall のコンポーネントと設定

DNS Firewall は、次の中央コンポーネントと設定を使用して管理します。

DNS Firewall ルールグループ

DNS クエリをフィルタリングするための、名前付きで再利用可能な DNS Firewall ルールのコレクションを定義します。ルールグループにフィルタリングルールを入力し、ルールグループを 1 つ以上の VPCs に関連付けます。ルールグループを VPC に関連付けると、その DNS の VPC Firewall フィルタリングが有効になります。次に、Resolver がルールグループが関連付けられている DNS の VPC クエリを受信すると、Resolver はフィルタリングのためにクエリを DNS Firewall に渡します。

複数のルールグループを 1 つの VPC に関連付ける場合は、各関連付けの優先度設定を使用して処理順序を指定します。DNS Firewall は、最下位の優先順位設定から VPC のルールグループを処理します。

詳細については、「DNS Firewall ルールグループとルール」を参照してください。

DNS Firewall ルール

DNS Firewall ルールグループ内の DNS クエリのフィルタリングルールを定義します。各ルールは、1 つのドメインリスト、または DNS Firewall 保護と、ドメインがルールのドメイン仕様に一致する DNS クエリに対して実行するアクションを指定します。一致するクエリを許可 (ドメインリストのみを含むルール）、ブロック、またはアラートできます。ドメインリストを持つルールでは、リスト内のドメインにクエリタイプを指定することもできます。例えば、特定のドメインの MX クエリタイプをブロックまたは許可できます。ブロックしたクエリのカスタムレスポンスも定義できます。

DNS Firewall ルールでは、一致するクエリのみをブロックまたはアラートできます。

ルールグループの各ルールには、ルールグループ内で一意の優先度設定があります。DNS Firewall は、ルールグループ内のルールを、優先順位の低い数値設定から処理します。

DNS Firewall ルールは、定義されたルールグループのコンテキストにのみ存在します。ルールを再利用したり、ルールグループから独立したルールを参照することはできません。

詳細については、「DNS Firewall ルールグループとルール」を参照してください

ドメインリスト

DNS フィルタリングで使用するドメイン仕様の名前付き再利用可能なコレクションを定義します。ルールグループの各ルールには、それぞれに 1 つのドメインリストが必要です。アクセスを許可するドメイン、アクセスを拒否するドメイン、またはその両方の組み合わせを指定できます。独自のドメインリストを作成し、 が AWS 管理するドメインリストを使用できます。

詳細については、「Route 53 Resolver DNS Firewall ドメインリスト」を参照してください。

ドメインリダイレクト設定 (ドメインリストのみ）

ドメインリダイレクト設定では、DNS や Word など、DNS リダイレクトチェーン内のすべてのドメイン (デフォルト) を検査するかDNAME、最初のドメインだけを信頼するように CNAME Firewall ルールを設定できます。DNS リダイレクトチェーン全体を調べる場合は、ルールで ALLOW に設定されたドメインリストに後続のドメインを追加する必要があります。DNS リダイレクトチェーン全体を調べる場合は、後続のドメインをドメインリストに追加し、ルールが実行するアクションに ALLOW、BLOCK、または ALERT のいずれかを設定する必要があります。

詳細については、「DNS Firewall のルール設定」を参照してください。

クエリタイプ (ドメインリストのみ）

クエリタイプ設定では、特定の DNS クエリタイプをフィルタリングするように DNS Firewall ルールを設定できます。クエリタイプを選択しない場合、ルールはすべての DNS クエリタイプに適用されます。例えば、特定のドメインのすべてのクエリタイプをブロックし、MX レコードを許可します。

詳細については、「DNS Firewall のルール設定」を参照してください。

DNS Firewall Advanced 保護

DNS クエリの既知の脅威シグネチャに基づいて、疑わしい DNS クエリを検出します。ルールグループ内の各ルールには、単一の DNS Firewall Advanced 保護設定が必要です。保護は、以下から選択できます。

• ドメイン生成アルゴリズム (DGAs）

  DGAsは、攻撃者が多数のドメインを生成してマルウェア攻撃を開始するために使用されます。

• DNSトンネリング

  DNSトンネリングは、攻撃者がクライアントへのネットワーク接続を行わずに DNS トンネルを使用してクライアントからデータを流出させるために使用されます。

DNS Firewall Advanced ルールでは、脅威に一致するクエリをブロックするか、警告するかを選択できます。脅威保護アルゴリズムは によって管理および更新されます AWS。

詳細については、「Route 53 Resolver DNS Firewall Advanced」を参照してください。

信頼度しきい値 (DNS Firewall Advanced 保護のみ）

DNS 脅威保護の信頼度しきい値。この値は、DNS Firewall Advanced ルールを作成するときに指定する必要があります。信頼レベル値の平均：

• 高 – 誤検出率が低い、最も適切に検証された脅威のみを検出します。

• 中 – 脅威と誤検出の検出のバランスを提供します。

• 低 – 脅威の検出率が最も高くなりますが、誤検出も増加します。

詳細については、「DNS Firewall のルール設定」を参照してください。

DNS Firewall ルールグループと VPC の関連付け

VPC Firewall ルールグループを使用して DNS の保護を定義し、VPC Word の Resolver DNS Firewall 設定を有効にします。

複数のルールグループを 1 つの VPC に関連付ける場合は、関連付けの優先度設定を使用して処理順序を指定します。DNS Firewall は、最下位の優先順位設定から VPC のルールグループを処理します。

詳細については、「DNS の Route 53 Resolver VPC Firewall 保護を有効にする」を参照してください。

DNSのリゾルバーの VPC Firewall 設定

Resolver が DNS レベルで VPC Firewall 保護を処理する方法を指定します。この設定は、Word に関連付けられている DNS Firewall ルールグループが少なくとも 1 つある場合に有効ですVPC。

この設定では、DNS Firewall がクエリのフィルタリングに失敗したときに Route 53 Resolver がクエリを処理する方法を指定します。デフォルトでは、Resolver が DNS Firewall からクエリのレスポンスを受信しない場合、閉じられてクエリがブロックされます。

詳細については、「DNS Firewall VPC の設定」を参照してください。

DNS Firewall アクションのモニタリング

Amazon CloudWatch を使用して、DNS Firewall ルールグループでフィルタリングされた DNS クエリの数をモニタリングできます。CloudWatch は raw データを収集し、ほぼリアルタイムの読み取り可能なメトリクスに加工します。

詳細については、「Amazon CloudWatch を使用した Route 53 Resolver DNS Firewall ルールグループのモニタリング」を参照してください。

イベントを使用してアプリケーションコンポーネントを接続できるサーバーレスサービスである Amazon EventBridge を使用して、スケーラブルなイベント駆動型アプリケーションを構築できます。

詳細については、「を使用した Route 53 Resolver DNS Firewall イベントの管理 Amazon EventBridge」を参照してください。

Route 53 Resolver DNS Firewall が DNS クエリをフィルタリングする方法

DNS Firewall ルールグループが VPC の Route 53 Resolver に関連付けられている場合、次のトラフィックはファイアウォールによってフィルタリングされます。

• その DNS 内で開始され、VPC DNS を通過する VPC クエリ。

• オンプレミスリソースからリゾルバーエンドポイントを経由するDNSクエリは、リゾルバーに VPC Firewall が関連付けられているのと同じ DNS に渡されます。

DNS Firewall は、DNS クエリを受信すると、設定したルールグループ、ルール、およびその他の設定を使用してクエリをフィルタリングし、結果を Resolver に送信します。

• DNS Firewall は、一致するものが見つかるか、すべてのルールグループを使い果たすまで、Word に関連付けられたルールグループを使用して VPC DNSクエリを評価します。DNS Firewall は、関連付けで設定した優先順位の順にルールグループを評価し、数値設定が最も小さい順に開始します。詳細については、DNS Firewall ルールグループとルールおよびDNS の Route 53 Resolver VPC Firewall 保護を有効にするを参照してください。

• 各ルールグループ内では、DNS Firewall は、一致するものが見つかるか、すべてのルールを使い果たすまで、各ルールのドメインリストまたは DNS Firewall Advanced 保護に対して Word DNSクエリを評価します。DNS Firewall は、優先順位の低い数値設定から順にルールを評価します。詳細については、「DNS Firewall ルールグループとルール」を参照してください。

• DNS Firewall は、ルールのドメインリスト、または DNS Firewall Advanced ルール保護によって識別された異常との一致を検出すると、クエリ評価を終了し、結果を Resolver に応答します。アクションが の場合alert、DNS Firewall は設定された Resolver ログにもアラートを送信します。詳細については、DNS Firewall のルールアクション、Route 53 Resolver DNS Firewall ドメインリスト、およびRoute 53 Resolver DNS Firewall Advancedを参照してください。

• DNS Firewall が一致を検出せずにすべてのルールグループを評価する場合、通常どおりクエリに応答します。

Resolver は、DNS Firewall からのレスポンスに従ってクエリをルーティングします。万一 DNS Firewall が応答しない場合、Resolver は VPC で設定された DNS Firewall のフェイルモードを適用します。詳細については、「DNS Firewall VPC の設定」を参照してください。

Route 53 Resolver DNS Firewall を使用するための大まかな手順

Amazon Virtual Private Cloud DNS に Route 53 Resolver VPC Firewall フィルタリングを実装するには、以下の大まかなステップを実行します。

• フィルタリングアプローチ、ドメインリスト、または DNS Firewall 保護を定義する – クエリのフィルタリング方法を決定し、必要なドメイン仕様を特定し、クエリの評価に使用するロジックを定義します。例えば、既知の不正なドメインのリストにあるクエリを除くすべてのクエリを許可できます。または反対に、承認したリストのドメインを除くすべてのドメインをブロックすることもできます。これは、ウォールドガーデンアプローチとして知られています。承認済みまたはブロックされたドメイン仕様の独自のリストを作成および管理し、 が AWS 管理するドメインリストを使用できます。DNS Firewall 保護では、クエリをすべてブロックしてフィルタリングすることも、脅威 (DGA、DNS トンネリング) に関連する異常を含む可能性のあるドメインへの疑わしいクエリトラフィックをアラートして DNS Firewall 設定をテストすることもできます。詳細については、Route 53 Resolver DNS Firewall ドメインリストおよびRoute 53 Resolver DNS Firewall Advancedを参照してください。

• ファイアウォールルールグループの作成 – DNS Firewall で、VPC の DNS クエリをフィルタリングするルールグループを作成します。ルールグループは、使用するリージョンごとに作成する必要があります。また、フィルタリング動作を複数のルールグループに分割して、異なる VPCs の複数のフィルタリングシナリオで再利用できるようにすることもできます。ルールグループについては、「DNS Firewall ルールグループとルール」を参照してください。

• ルールの追加と設定 — ルールグループで提供するドメインリストおよびフィルタリング動作ごとに、ルールグループにルールを追加します。ルールグループ内でルールが正しい順序で処理されるように、ルールの優先度を設定します。最初に評価するルールの優先順位が最も低くなるようにします。ルールについては、「DNS Firewall ルールグループとルール」を参照してください。

• ルールグループを VPC に関連付ける – DNS Firewall ルールグループの使用を開始するには、それを VPC に関連付けます。VPC に複数のルールグループを使用している場合は、各関連付けの優先度を設定して、ルールグループが正しい順序で処理されるようにし、最初に評価するルールグループに優先順位を付けます。詳細については、「VPC と Route 53 Resolver DNS Firewall ルールグループ間の関連付けの管理」を参照してください。

• （オプション) VPC のファイアウォール設定を変更する – DNS Firewall が応答を返さないときに Route 53 Resolver でクエリをブロックする場合は、Resolver で VPC の DNS Firewall 設定を変更します。詳細については、「DNS Firewall VPC の設定」を参照してください。

複数のリージョンで Route 53 Resolver DNS Firewall ルールグループを使用する

Route 53 Resolver DNS Firewall はリージョンサービスであるため、1 つの AWS リージョンで作成したオブジェクトは、そのリージョンでのみ使用できます。同じルールグループを複数のリージョンで使用するには、リージョンごとにルールグループを作成する必要があります。

ルールグループを作成した AWS アカウントは、他の AWS アカウントと共有できます。詳細については、「AWS アカウント間での Route 53 Resolver DNS Firewall ルールグループの共有」を参照してください。