本文へスキップ
BecomeCoder

AWS SAP（ソリューションアーキテクト プロフェッショナル）コース　·　第4章　エンタープライズの認証・認可とセキュリティ　·　レッスン23

エッジ・ネットワーク保護 ― WAF・Shield・Network Firewall・Firewall Manager

導入

組織の外部との境界（インターネットとの接点）を守るサービス群も、SAPでは「個々のアカウントでバラバラに設定する」のではなく「組織全体に一括で強制適用する」視点が求められます。

説明

エッジ・ネットワーク保護に関わる主要サービスを整理します。

サービス守る対象・レイヤー
AWS WAFWebアプリケーション層（L7）。SQLインジェクション、XSS等の攻撃パターンをルールでブロック
AWS Shield Standard全アカウントに自動付帯。一般的なDDoS（L3/L4）から無償で保護
AWS Shield Advanced高度なDDoS対策。専任のDDoS対応チーム（SRT）、コスト保護、詳細な可視化が追加
AWS Network FirewallVPCレベルのネットワークファイアウォール（L3〜L7）。ステートフルなトラフィック検査、侵入防御
AWS Firewall ManagerWAF・Shield Advanced・Network Firewall・セキュリティグループなどのルールを組織全体に一括管理・強制適用

WAFがアプリケーション層の攻撃パターンを見るのに対し、Network Firewallはネットワーク層でより広範なトラフィック制御（IPS/IDS的な検査、ドメインフィルタリング）を行う点が違いです。両者は併用されることも多く、CloudFront/ALBの前段にWAF、VPCの境界にNetwork Firewallという役割分担になります。

flowchart TD
    Internet["インターネット"] --> Shield["Shield<br/>（DDoS対策・L3/L4）"]
    Shield --> WAF["WAF<br/>（Web攻撃対策・L7）"]
    WAF --> CF["CloudFront / ALB"]
    CF --> NFW["Network Firewall<br/>（VPC境界・L3〜L7）"]
    NFW --> APP["アプリケーション（VPC内）"]

数十のアカウントすべてに同じWAFルールやセキュリティグループポリシーを個別に設定するのは非現実的で、設定漏れのリスクもあります。AWS Firewall Manager をOrganizations管理アカウント（または委任管理者）から使うことで、「全アカウント・全リージョンに、このWAFルールセットを強制適用する」「新しく作られたアカウントにも自動的に適用する」という一元管理が実現できます。

読んでみよう

「組織内の全アカウントに同じセキュリティルールを強制したい」「新しく増えるアカウントにも自動で適用したい」という要件は、Firewall Managerが正解の強いシグナルです。個々のサービス（WAF/Shield/Network Firewall）が「何を守るか」、Firewall Managerが「それをどう組織全体に統治するか」という関係を、第2章のSCP・Control Towerと同じ構図で理解しておくと定着しやすいです。