Network Firewall のドメインフィルタが SFTP や SSH にも！名前解決した IP かを検証するよ

みんな、しぃちゃんだよ！今日はネットワークセキュリティのアップデートを紹介するね！

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New で、AWS Network Firewall が IP validation（Route 53 Resolved IP Validation）に対応したと発表されたよ。

これは、接続先の IP アドレスが、VPC の Amazon Route 53 VPC Resolver で名前解決されたものかどうかを検証する機能なの。ドメインベースのフィルタリングを、HTTP/HTTPS 以外のプロトコル（SFTP や SSH など）にも広げられるよ。

今までどうだったの？

ドメインベースのフィルタリングは HTTP/HTTPS が中心だったよ。そのため、ドメインのルールを回避されてしまうすき間が残っていたの。

• クライアントがドメインルールを迂回できる場合があった
• HTTP/HTTPS 以外では、IP ベースのルールに頼るしかなかった
• SNI（Server Name Identifier）の偽装への対策が複雑だった

これで何が変わるの？

接続先 IP が、VPC の Route 53 VPC Resolver で解決されたものかを検証できるようになったよ。

• 任意のプロトコルでドメインフィルタリングのルールを書ける
• 解決された IP と SNI を突き合わせることで、SNI 偽装への対策が簡単になる
• Web アプリからファイル転送まで、アウトバウンド通信全体に一貫したドメインベースのポリシーを適用できる

複雑な回避策を組まなくても、外向き通信のポリシーをそろえられるのが嬉しいところだね！

深く潜ってみよう

あわせて、Route 53 Resolver DNS Firewall を VPC Resolver と一緒に使うと、DNS 側のセキュリティも強化できると案内されているよ。

提供状況と料金はこんな感じ！

• 提供範囲: AWS Network Firewall と Route 53 Resolver DNS Firewall が使える、すべての AWS 商用リージョン
• 料金: 追加料金なし

まとめ

• 接続先 IP が VPC Resolver で解決されたものかを検証できる
• ドメインフィルタリングが SFTP や SSH など HTTP/HTTPS 以外にも広がる
• SNI 偽装への対策がシンプルになる
• 追加料金なしで、対応する全商用リージョンで使える

VPC からの外向き通信を、ドメインで一貫して制御したいセキュリティ担当の人に刺さるアップデートだよ！