AWS Network Security Manager とは

AWS Network Security Manager を使用すると、 AWS WAF や Shield Advanced AWS ルールなどのネットワークセキュリティ保護を組織内の 1 つ以上のアカウントとリソースに一元的に定義してデプロイできます。各リソースを個別に操作する代わりに、再利用可能なポリシーオブジェクト (ルール、テンプレート、ポリシー) を 1 回定義し、ポリシーのドリフトを検出して修正するための継続的なモニタリングを使用して、大規模なデプロイを行います。

AWS Network Security Manager の仕組みの概要

一連の階層ポリシーオブジェクトを定義し、ターゲットスコープに適用します。ポリシーオブジェクトの最下位レベルはルールです。ルールをテンプレートにグループ化し、優先度ベースの競合解決でポリシーに結合できます。次に、スコープで保護するアカウントとリソースを選択し、デプロイを公開してポリシーを適用します。

デプロイ後、 AWS Network Security Manager はスコープ環境とデプロイされたポリシーを継続的にモニタリングして、意図した定義と一致するかどうかを確認します。そうでない場合、 AWS Network Security Manager はオプションで、意図した設定から逸脱するリソースを修復できます。リソースモデル、ライフサイクル、アーキテクチャの詳細については、「」を参照してくださいAWS Network Security Manager の仕組み。

AWS Network Security Manager の機能

• 複数のファイアウォールタイプのサポート – AWS Network Security Manager は、ウェブ ACL 設定とルールグループの AWS WAF をサポートしています。保護されたリソースタイプには、Amazon CloudFront ディストリビューション、Application Load Balancer、Amazon API Gateway ステージが含まれます。 AWS Network Security Manager AWS は、Amazon CloudFront ディストリビューション、Application Load Balancer、Classic Load Balancer、Elastic IP アドレスの DDoS 保護のために Shield Advanced もサポートしています。

• 再利用可能なセキュリティ設定 – ポリシーオブジェクトを 1 回ルールとして定義し、テンプレートにグループ化して、リソースをターゲットとするスコープを作成します。ルール、テンプレート、スコープを複数のポリシーとデプロイで再利用します。

• 優先度ベースのポリシーマージ – 複数のポリシーが同じリソースを保護する場合、 AWS Network Security Manager はポリシーの優先度に基づいて設定をマージし、予測可能な競合解決を提供します。

• シングルアカウントとマルチ管理者のサポート – AWS Network Security Manager を 1 つのアカウントで使用するか、複数の管理者アカウントを指定します。各アカウントは優先度が高くなります。管理者のポリシーが重複すると、 AWS Network Security Manager はまず管理者の優先度によって競合を解決し、次に各アカウント内のポリシーの優先度によって競合を解決します。

• ドラフト状態とアクティブ状態 – ルール、テンプレート、ポリシー、スコープ、デプロイを含む各 AWS Network Security Manager リソースは、ドラフト状態とアクティブ状態をサポートします。ライブ保護に影響を与えずにリソースをドラフトとして保存し、適用する準備ができたら公開します。

• バージョン管理されたスナップショット – ルール、テンプレート、ポリシー、スコープ、デプロイを含む各 AWS Network Security Manager リソースは、イミュータブルなバージョン番号のスナップショットをサポートします。バージョニングを使用して、既知の正常な AWS Network Security Manager リソース設定を保持します。

• 保護されたリソースの同期診断 – スコープ内のリソースごとに、同期されていない設定とその理由を正確に確認し、各設定フィールドの実際の値と比較して予想される設定を確認します。

• 自動修復 – オプションで、 AWS Network Security Manager out-of-syncリソースを自動的に修復し、手動による介入なしで意図した設定に合わせることを可能にします。

• 自然言語ルールの生成 – GenerateRuleConfigurationオペレーションを使用してルールをプレーン言語で記述し、Amazon Bedrock を搭載した対応する設定 JSON を受け取ります。

ユースケース

AWS Network Security Manager の一般的なユースケースは次のとおりです。

• すべてのアカウントでベースライン AWS WAF ルールを適用する – すべてのインターネット向けアプリケーションが使用する必要がある一連の AWS WAF ルールグループを定義し、組織全体にデプロイします。 AWS Network Security Manager は、範囲内の新しいリソースにルールを自動的に適用します。

• 特定のリソース間で特定のカスタムまたは例外 AWS WAF ルールを作成する – 特定のリソースセットにのみ適用される一連の AWS WAF ルールを定義します。このセットは、 AWS アカウント ID、OU、タグ、または Amazon リソースネーム (ARNs) で識別する特定のビジネスユニットまたはアプリケーションにすることができます。

• インターネット向けリソースに対する DDoS 保護の検証 – パブリックリソースタイプを対象とする AWS Shield Advanced ポリシーを作成し、組織全体にデプロイして、重要なリソースで DDoS 保護が有効になっているようにします。

• 設定ドリフトの検出と修復 – 同期ステータスモニタリングを使用して、ファイアウォール設定が意図した状態からドリフトしたリソースを特定し、オプションで自動修復を有効にしてコンプライアンスに戻します。

• セキュリティ管理を複数のチームに委任する – 優先度レベルが異なる複数の管理者アカウントを指定し、特定のアカウント、組織単位、またはファイアウォールタイプへのスコープ付きアクセスを指定します。これにより、チームは定義された境界内で独自のセキュリティポリシーを管理できます。

関連サービス

• AWS WAF – AWS WAF を使用して、可用性に影響を与えたり、セキュリティを侵害したり、過剰なリソースを消費したりする可能性のある一般的なウェブエクスプロイトやボットからウェブアプリケーションと APIs を保護します。 AWS Network Security Manager は AWS WAF を使用して、単一のアカウント内または組織内のアカウント間でリソースのウェブ ACLs とルールグループを作成および管理します。

• AWS Shield Advanced – で実行されているアプリケーションに拡張された保護を提供するマネージド DDoS 保護サービス AWS。 AWS Network Security Manager は Shield Advanced を使用して、単一のアカウント内または組織内のアカウント間でリソースの DDoS 保護を提供します。

• AWS Organizations – AWS リソースの拡大とスケーリングに応じて、環境を一元管理できます。 AWS Network Security Manager では、 AWS Organizations がメンバーアカウント全体の保護を管理する必要があります。

• AWS Config – AWS リソースの設定を評価、監査、評価できるサービス。 AWS Network Security Manager は、サービスにリンクされた AWS Config レコーダーを使用して、メンバーアカウントのリソースを検出します。

AWS Network Security Manager へのアクセス

AWS Network Security Manager には、次のインターフェイスからアクセスできます。

AWS マネジメントコンソール

AWS Network Security Manager リソースを管理するためのウェブベースのインターフェイス。

https://console.aws.amazon.com/network-security-manager/ で AWS Network Security Manager コンソールを開きます。

AWS コマンドラインインターフェイス (AWS CLI)

AWS Network Security Manager オペレーションのコマンドを提供します。詳細については、「AWS CLI コマンドリファレンス」を参照してください。

AWS SDKs

AWS はSDKs を提供します。SDKs を使用すると、 AWS Network Security Manager へのプログラムによるアクセスを簡単に作成できます。詳細については、「Amazon ウェブ サービスのツール」を参照してください。

AWS Network Security Manager API

HTTPS 経由で JSON を使用する REST API。API エンドポイントの形式は ですnetwork-security-manager.{region}.api.aws。詳細については、AWS 「Network Security Manager API リファレンス」を参照してください。

AWS Network Security Manager の使用を開始するには、AWS Network Security Manager のセットアップ「」および「」を参照してください最初のネットワークセキュリティ保護をデプロイする。

料金

AWS Network Security Manager がモニタリングおよび保護する対象範囲内のリソースごとに料金が発生します。 AWS WAF や AWS Shield Advanced など、デプロイする基盤となるセキュリティサービスには追加料金が適用されます。料金の詳細については、 AWS ウェブサイトのAWS 「Network Security Manager の料金」を参照してください。

を初めてお使いになる方向けの情報

AWS Network Security Manager を初めて使用する場合は、次のトピックを順番に読むことをお勧めします。

1. AWS Network Security Manager の仕組み – リソースモデル、ライフサイクル状態、ポリシーマージ、同期について説明します。

2. AWS Network Security Manager のセットアップ – AWS Network Security Manager を使用するための前提条件を完了します。

3. 最初のネットワークセキュリティ保護をデプロイする – 最初のデプロイを作成するend-to-endのチュートリアルについて説明します。