AWS Network FirewallがRoute 53 Resolved IP Validationをサポートし、非HTTP/HTTPSプロトコルでもドメインベースのフィルタリングが可能に

AWS Network Firewallは、Amazon Route 53 Resolverを介して解決されたIPアドレスの検証機能（Resolved IP Validation） Resolved IP Validation）をサポートしました。これにより、ドメインベースのフィルタリングをHTTP/HTTPS以外のプロトコル（SFTPやSSHなど）にも拡張可能です。この機能により、接続先IPアドレスがVPC内のRoute 53 Resolverによって正しく解決されたものであるかを検証することで、SNIスプーフィングを防ぎ、ドメインルールをバイパスするクライアントの接続を遮断できます。本機能は、AWS Network FirewallおよびRoute 53 Resolver DNS Firewallが利用可能なすべてのAWS商用リージョンで追加料金なしで提供されます。

エンジニア視点の考察

解決される課題と技術的メリット

以前のAWS Network Firewallにおけるドメインフィルタリングは、主にHTTP/HTTPSプロトコルに依存しており、SFTPやSSHといった他のプロトコルでは、IPベースのルールによる制限が展開しにくいという課題がありました。今回のアップデートにより、ドメイン名に基づいた柔軟なセキュリティポリシーを管理できる範囲が拡張されました。特に、SNI（Server Name Identifier）スプーフィングへの対策が容易になり、通信が「実際にRoute 53で解決されたドメイン」と「通信先IP」のDNS解決結果が로一致しているかを検証できるため、セキュリティの穴を塞ぐことができます。

日本国内リージョンの提供状況

最新のリサーチ結果に基づくと、東京（ap-northeast-1）および大阪（ap-northeast-3）リージョンにおいて、本機能はすでに提供されています。 日本のエンタープライズ環境において、管理対象のドメインをIPアドレスで個しくちに管理するのは運用負荷が高いため、この機能のメリットは非常に大きいと言です。

運用上のアドバイスと次のステップ

• セキュリティ強化のポイント: Route 53 Resolver DNS Firewallと併用することで、DNSレイヤーとネットワークレイヤーの両方で多層防御を実現できます。
• コスト面: 本機能の利用自体に追加料金はかかりません。既存のNetwork Firewall環境にルールを追加するだけで、適用可能です。
• 推奨されるアクション: まずは既存の環境で、SFTPやSSHなどの非HTTP/HTTPS通信がドメインベースのフィルタリングのルールに合当致しているか、検証環境で検証を行うことを推奨します。特に、既存のドメインルールが意図せず遮断してしまう通信がないか、ログを確認しながらログの分析を行結えます。

参照ドキュメント: AWS Network Firewall - Route 53 Resolved IP Validation AWS Network Firewallの新機能