本文へスキップ
BecomeCoder

AWS SAP（ソリューションアーキテクト プロフェッショナル）コース　·　第4章　エンタープライズの認証・認可とセキュリティ　·　レッスン23

エッジ・ネットワーク保護 ― WAF・Shield・Network Firewall・Firewall Manager

導入

組織の外部との境界（インターネットとの接点）を守るサービス群も、SAPでは「個々のアカウントでバラバラに設定する」のではなく「組織全体に一括で強制適用する」視点が求められます。

説明

エッジ・ネットワーク保護に関わる主要サービスを整理します。

サービス守る対象・レイヤー
AWS WAFWebアプリケーション層（L7）。SQLインジェクション、XSS等の攻撃パターンをルールでブロック
AWS Shield Standard全アカウントに自動付帯。一般的なDDoS（L3/L4）から無償で保護
AWS Shield Advanced高度なDDoS対策。専任のDDoS対応チーム（SRT）、コスト保護、詳細な可視化が追加
AWS Network FirewallVPCレベルのネットワークファイアウォール（L3〜L7）。ステートフルなトラフィック検査、侵入防御
AWS Firewall ManagerWAF・Shield Advanced・Network Firewall・セキュリティグループなどのルールを組織全体に一括管理・強制適用

WAFがアプリケーション層の攻撃パターンを見るのに対し、Network Firewallはネットワーク層でより広範なトラフィック制御（IPS/IDS的な検査、ドメインフィルタリング）を行う点が違いです。両者は併用されることも多く、CloudFront/ALBの前段にWAF、VPCの境界にNetwork Firewallという役割分担になります。

flowchart TD
    Internet["インターネット"] --> Shield["Shield<br/>（DDoS対策・L3/L4）"]
    Shield --> WAF["WAF<br/>（Web攻撃対策・L7）"]
    WAF --> CF["CloudFront / ALB"]
    CF --> NFW["Network Firewall<br/>（VPC境界・L3〜L7）"]
    NFW --> APP["アプリケーション（VPC内）"]

数十のアカウントすべてに同じWAFルールやセキュリティグループポリシーを個別に設定するのは非現実的で、設定漏れのリスクもあります。AWS Firewall Manager をOrganizations管理アカウント（または委任管理者）から使うことで、「全アカウント・全リージョンに、このWAFルールセットを強制適用する」「新しく作られたアカウントにも自動的に適用する」という一元管理が実現できます。

具体例

セキュリティ責任者が「全社のWebアプリに、共通のWAFルール（SQLインジェクション遮断・特定国のブロック）を漏れなく適用したい」と考えました。アカウントは30個あります。

Firewall Managerなし：30アカウントそれぞれで、担当者が個別にWAFルールを設定。1つでも設定漏れがあればそこが穴に。新しいアカウントが増えたら、また手作業で追加が必要。

Firewall Managerあり：Organizations管理アカウント（または委任管理者）から、

  • 「このWAFルールセットを、全アカウント・全リージョンのALB/CloudFrontに強制適用」を1回定義するだけ
  • 新しく作られたアカウントにも自動で適用され、設定漏れが構造的に起きない
  • Shield AdvancedやセキュリティグループのポリシーもFirewall Managerで一括管理

構図はこうです——WAF/Shield/Network Firewallが「何を守るか」、Firewall Managerが「それを組織全体にどう統治・強制するか」。第2章のSCP・Control Towerと同じ「個々の機能」対「組織への強制」の関係です。「全アカウントに強制」「新規アカウントにも自動」はFirewall Managerの強いシグナルです。

読んでみよう

「組織内の全アカウントに同じセキュリティルールを強制したい」「新しく増えるアカウントにも自動で適用したい」という要件は、Firewall Managerが正解の強いシグナルです。個々のサービス（WAF/Shield/Network Firewall）が「何を守るか」、Firewall Managerが「それをどう組織全体に統治するか」という関係を、第2章のSCP・Control Towerと同じ構図で理解しておくと定着しやすいです。

次のレッスンへ →