Amazon CloudFrontが視聴者のISP情報と耐量子TLS詳細ヘッダーを提供開始

Amazon CloudFrontは、オリジンサーバーへ転送可能な2つの新しいオプションHTTPヘッダー（CloudFront-Viewer-ISP および CloudFront-Viewer-TLS-Details）の提供を開始しました。これにより、オリジン側で視聴者のインターネットサービスプロバイダー（ISP）情報や、TLS接続で使用された暗号化の詳細（耐量子計算機暗号：PQCの利用状況を含む）を取得できるようになります。これらのヘッダーは、オリジンリクエストポリシー（Origin Request Policy）に追加することで利用可能です。

ネットワーク分析と次世代セキュリティへの対応

今回のアップデートは、トラフィックの可視化と将来的な暗号化標準への移行準備という2つの側面で非常に価値があります。

解決される課題とメリット

• ネットワークごとの分析: CloudFront-Viewer-ISP を使うことで、特定のプロバイダーからの異常なトラフィックを検算したり、パフォーマンスをネットワーク単位でセグメント化して分析したりすることが可能になります。
• 耐量子計算機暗号 (PQC) の可視化: CloudFront-Viewer-TLS-Details により、鍵交換や署名スキームなどの詳細が取得できるため、PQC（耐量子計算機暗号）への対応状況を可視化し、クライアント側の対応状況を把握する指標として活用できます。

日本国内の利用状況

CloudFrontはグローバルサービスであるため、本機能は東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) を含む全世界で利用可能です。

運用上のアドバイス

• セキュリティ分析の強化: WAFやオリジン側のログ分析と組み合わせて、特定のISPからの攻撃パターンを検知するロジジックを構築する際に役立ちます。
• コストと実装: ヘッダーの追加はオリジンリクエストポリシーの設定変更のみで完結するため、既存の構成への影響は最小限です。ただし、オリジン側でこれらのヘッダーを受け取る準備（アプリケーションのロジック変更）が必要です。

次のアクション

まずは、オリジンリクエストポリシーに新しいヘッダーを追加し、検証環境のディストリビューションでテストすることをお勧めします。特に、PQCの利用状況を測定したい場合は、TLS詳細ヘッダーの解析ロジックを実装してください。

参照ドキュメント: Amazon CloudFront Developer Guide (adding CloudFront headers / controlling origin requests with a policy) https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/adding-cloudfront-headers.html