AWS Network Firewall で次世代ファイアウォール (NGFW) ポリシーを導入

AWS Network Firewall に、よりシンプルなポリシー構造とルール容量の拡大を実現する新しい「次世代ファイアウォール (NGFW) ポリシー」モデルが導入されました。この新モデルでは、ファイアウォールルール（アクセス制御）と IPS ルール（脅威検知）をレイヤー化して分離して管理し、それぞれに独立したキャパシティを割り当てます。すべてのルールはステートフルに評価され、完全な接続コンテキストを用いて処理されます。既存のポリシーはそのまま動作し、IPS ルールの後方互換性も維持されます。本機能は、追加料金なしで、すべての商用 AWS リージョンで利用可能です。

運用上のメリットと注意点

これまで AWS Network Firewall のポリシー管理は、ファイアウォールルールと IPS ルールの容量を共有していたため、ルール数が増えると「どちらを優先して削るか」というトレードオフが発生していました。今回の NGFW ポリシー導入により、容量が独立したため、セキュリティレベルを妥協せずに詳細なルールセットを構築できるようになります。

日本国内リージョンでの利用

リサーチの結果、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) の両方で利用可能です。国内で VPC 境界セキュリティを強化したい方はすぐに導入を検討してください。

実務的なアドバイス

• 移行のタイミング: 既存のポリシーはそのまま動作するため、急いで移行する必要はありません。ただし、新規にポリシーを作成する場合や、ルール容量の限界に達している場合は、NGFW ポリシーへの移行を強く推奨します。
• 埋め込みルールグループの活用: ポリシー間で共有しないルールを「埋め込みルールグループ」として定義することで、事前割り当てなしにオンデマンドで容量を消費できるため、管理コストが削減されます。
• コスト: 機能自体の利用に追加料金はかからないため、コスト増を心配せず導入可能です。

次のアクション

まずは、現在のルール容量の使用状況を確認し、NGFW ポリシーで管理を簡素化できる箇所がないか検討してください。特に、AWS 提供のマネージドルールグループを組み合わせて IPS 機能を強化したい場合に有効です。

参考ドキュメント

• AWS Network Firewall 開発者ガイド: https://docs.aws.amazon.com/network-firewall/latest/developerguide/firewall-policies-v2.html