SAA / ドメイン1 セキュアなアーキテクチャの設計
AWS Network Firewall
は、 の通信を検査・制御するマネージドなネットワークファイアウォールです。
SAA では、VPC の入口・出口や VPC 間通信を一元的に検査し、ドメイン、、ポート、プロトコル、侵入パターンなどで制御する場合に選びます。
概要
ファイアウォール専用にを作成し、で対象通信をそのエンドポイントへ通します。ルートを誤ると検査を迂回できるため、対称ルーティングを含む経路設計が重要です。
主要技術
①ファイアウォールポリシー
ルールグループとルールグループをまとめ、ファイアウォールへ関連付けます。ルールとポリシーを分離して再利用できます。
②ステートレスとステートフル
| 種類 | 特徴 |
|---|---|
| 各パケットを独立して高速評価します。 | |
| 接続状態とアプリケーション情報を追跡して評価します。 |
③ルーティング ⚠️ 頻出
Internet Gateway、 Gateway、、ワークロード間のルートを設計し、検査対象通信を必ずファイアウォールへ通します。各 にエンドポイントを配置し、同一 AZ 経路を使うと可用性とコストを設計しやすくなります。
④他の制御との違い
Security Group は 単位、Network は単位の基本制御です。 は境界や集中検査で高度なルールを提供します。 はアプリケーション層のWeb保護です。
試験対策
「複数の送受信を集中検査」「ドメインベースの出口制御」「侵入防止ルール」は です。単一の許可ポートだけなら Security Group を選びます。