Amazon Route 53 Resolver DNS Firewall が Palo Alto Networks Advanced DNS Security をサポート

Amazon Route 53 Resolver DNS Firewall において、Palo Alto Networks (PANW) Advanced DNS Security のサポートが一般提供（GA）されました。これにより、別途のファイアウォールを導入したり VPC 設定を変更したりすることなく、VPC およびハイブリッドクラウド環境から発生する悪意のある DNS トラフィック（C&C サーバーへの通信、マルウェア、フィッシングなど）を PANW の脅威インテリジェンスに基づいたルールで直接的に検出・ブロックすることが可能になります。本機能は DNS Firewall が提供されている全 32 リージョンで利用可能です。

運用の手間を大幅に削減できるアップデート

これまで VPC 内の DNS クエリを詳細に制御し、脅威をブロックしたい場合は、サードパーティ製の DNS フィルタリングソリューションや、複雑なネットワーク構成（トラフィックを特定のインスタンスにルーティングさせるなど）を構築する必要がありました。今回の GA により、Route 53 Resolver DNS Firewall という AWS ネイティブな仕組みに PANW の高度なセキュリティルールを統合できるため、インフラ構成をシンプルに保ったまま、業界最高水準の脅威検知能力を導入できるのが大きなメリットです。

日本リージョンでの利用について

リサーチ結果によると、公式発表では東京（ap-northeast-1）および大阪（ap-northeast-3）リージョンでのサポートについて個別の明記はありません。しかし、「DNS Firewall が提供されているすべての AWS リージョンでサポートされる」とされており、東京・大阪リージョンでも DNS Firewall 自体が提供されているため、利用可能である可能性が非常に高いと考えられます。導入を検討される方は、まず管理コンソールで PANW のオプションが表示されるか確認することをお勧めします。

実務上のアドバイス

• ライセンス管理: AWS License Manager を利用して組織アカウント間でライセンスを共有できるため、マルチアカウント環境での一元的なセキュリティポリシー適用が容易になります。
• 一括適用: AWS Firewall Manager を併用することで、組織全体の VPC に対して PANW ルールグループを強制的に適用させることができ、ガバナンス強化に有効です。 n- コスト: Route 53 DNS Firewall の基本料金に加え、PANW Advanced DNS Security の Marketplace 料金が発生します。コスト試算を行う際は、両方の料金体系を確認してください。

次のアクション

1. Route 53 DNS Firewall コンソールにアクセスし、PANW のサブスクリプション設定を確認する。
2. AWS Marketplace で PANW Advanced DNS Security のプランを確認し、テスト環境の VPC に適用して動作検証を行う。

参考ドキュメント

• Route 53 DNS Firewall documentation: https://docs.aws.amazon.com/Route53/latest/DeveloperGuide/firewall-partner-panw.html