恐竜がAWS_Network_Firewallを導入してみた.pdf

Transcript

1. 恐竜が AWS Network Firewallを導入してみた 中濱誠司 2024/9/26 JAWS-UG朝会#61
2. 自己紹介 名前 中濱 誠司(Nakahama Seiji) 経歴 2009/04 – 2022/09 外資系SIer 新卒入社 メインフレーム部門配属 2009-2013 某カード会社テスト担当、某損保代理店新規構築PJ 構築TL 2013-2019 某メガバンク勘定系構築PJ DB・情報連携 TL 2019-2022 某生保インフラ系PJ PM 2022/10 – 現在 某国内金融系企業 中途入社 ・AWS運用・開発、CCoE ・地銀勘定系onクラウド 新規構築PJ PMO 好きな製品 Db2 for z/OS やったスポーツ 卓球(中・高専)・アメフト(大・社会人) ・トライアスロン(最近) 恐竜とは IT業界で「恐竜」と言うのは、メインフレームを揶揄する表現 1990年代から2000年代初にオープンシステムや分散コンピューティング台頭 「メインフレームは絶滅した恐竜のようなもの」と言われる 「巨大なウスノロで、環境変化に対応できず滅びてしまった大昔の生物」と揶揄 メインフレーム技術者育ちの自身を誇りと自嘲と自戒を込めて恐竜と呼称
3. AGENDA 1. AWS Network Firewall概要 2. AWS Network Firewall導入の背景 3. プロジェクト概要（スケジュール・体制・成果物） 4. 設計の考慮点 5. 導入時の課題 6. 終わりに 7. 参照資料
4. 1.AWS Network Firewall概要 ◼ 主な機能 ➢ ステートレス/ステートフルのルールエンジンを提供 ➢ トラフィック検査とフィルタリング侵入防止 ◼ 活用のメリット ➢ インフラ管理不要なマネージドサービス (マルチAZ対応) ➢ NWトラフィックに対して透過的な検査 ➢ ステートフルルールとしてドメインフィルタを含むシグネチャ型 の検査ルールを定義可能(Suricata 6.0.2互換） ➢ AWS提供のマネージドルールが利用可能 ➢ ステートフルルールでのFirewallログの出力 ➢ Firewall Managerによるポリシーの準拠状況の管理 AWS Network FirewallはVPCのサブネットに配置するフルマネージドなファイアウォールサービス AWS Network Firewall
5. 1.AWS Network Firewall概要 AWS Network FirewallはVPCのサブネットに配置するフルマネージドなファイアウォールサービス AWS Network Firewall
6. 1.AWS Network Firewall概要 AWS Network Firewallの主な構成要素は以下の通り Firewall Endpoint AWS Network Firewall S3 CloudWatch Kinesis CloudWatch Metrics 送信元 宛先 ユーザ管理VPC Firewallログ メトリクス ルールグループ (ステートレス) ルールグループ (ステートフル) Firewallポリシー ◼ Firewall Endpoint ✓ ルートテーブルのNext Hopとして指定可能なVPCエンドポイント ✓ 実体はGateway Load Balancer エンドポイント(※１) ◼ ルールグループ（ステートレス,ステートフル） ✓ リクエスト検査ルールとルールに該当した際のアクションを定義、それら のルールの集合体。ステートレスとステートフルそれぞれある • ステートレス(PASS,DROP,転送) • ステートフル(PASS,DROP,ALERT) ◼ Firewallポリシー ✓ ルールエンジン（ステートレス/ステートフル）の振る舞い定義 ✓ 検査を行うルールグループの優先度管理 ◼ Firewallログ ✓ ステートフルルール定義に該当したもののみ出力 ✓ ルールアクションでDROP/ALERTに一致したログ 主な構成要素 (※１) Deployment models for AWS Network Firewall https://aws.amazon.com/jp/blogs/networking-and-content-delivery/deployment-models-for-aws-network-firewall/ Once AWS Network Firewall is deployed, you will see a firewall endpoint in each firewall subnet. Firewall endpoint capability is powered by AWS Gateway Load Balancer and therefore elastic network interface (ENI) of the endpoint is “gateway_load_balancer_endpoint” type. 0/0→firewall Endpoint(NextHop )
7. 1.AWS Network Firewall概要 Gateway Load BalancerはElastic Load Balancerの１つ
8. 1.AWS Network Firewall概要 Gateway Load Balancerの主な機能は？ ◆ FW、IDS、ディープバケットインスペクションなど仮想アプライアンスをデプロイ、スケーリングや管理ができる ◆ 透過的なNWGW（すべてのトラフィックに対して単一の入口と出口）を組み合わせて、トラフィックを分散しながら、 仮想アプライアンスを需要に応じてスケーリングする
9. 1.AWS Network Firewall概要 Gateway Load Balancer利用時におけるセキュリティアプライアンス マルチAZ構成の例 死活監視やAZ障害時の作り込みをすることなく、AZ障害時にGLBが対応
10. AGENDA 1. AWS Network Firewall概要 2.AWS Network Firewall導入の背景 3. プロジェクト概要（スケジュール・体制・成果物） 4. 設計の考慮点 5. 導入時の課題 6. 終わりに 7. 参照資料
11. 管理対象外AWS 管理対象AWS 2.AWS Network Firewall導入の背景 管理対象外AWSからの不要通信を遮断・管理することが目的 AWS Cloud IGW VPC VPC A VPC B VPC x 会社A ・・・ VPC x VPC x 会社B Transit Gateway DX Gateway DC 会社A拠点 Office 会社B拠点 Office 自社 Office 各社管理のため、私たちからして ブラックボックス 管理対象外AWSとの通信は、 TGW,NACL,SGでそれぞれ制御 しているが、一元管理はできてい ない 一部の業務通信が私たちが管理する AWSを経由してアクセス
12. 管理対象外AWS 管理対象AWS 2.AWS Network Firewall導入の背景 管理対象外AWSからの不要通信を遮断・管理することが目的 AWS Cloud IGW VPC VPC A VPC B VPC x 会社A ・・・ VPC x VPC x 会社B Transit Gateway DX Gateway DC 会社A拠点 Office 会社B拠点 Office 自社 Office 各社管理のため、私たちからして ブラックボックス 管理対象外AWSとの通信は、 TGW,NACL,SGでそれぞれ制御 しているが、一元管理はできてい ない 一部の業務通信が私たちが管理する AWSを経由してアクセス 管理対象AWS 管理 対象外 AWS AWS Network Firewall AWS Network Firewall導入により 不要・想定外通信を遮断 その設定を一元管理 不要な通信を監視
13. AGENDA 1. AWS Network Firewall概要 2. AWS Network Firewall導入の背景 3.プロジェクト概要（スケジュール・体制・成果物） 4. 設計の考慮点 5. 導入時の課題 6. 終わりに 7. 参照資料
14. 3.プロジェクト概要（スケジュール・体制・成果物） 既存システムのセキュリティ強化のため、既存業務（システム運用・開発）と並行しながら実施 以下のバーチャルチームで部署横断プロジェクトとして実施 AWS Network Firewall導入 部署横断バーチャルチーム 利用者(通信の検査対象にされる側） マネジメントレイヤ 要件定義作成、プロジェクト立ち上げ、各種ステークホルダー調整 各種資料レビューおよび承認・プロジェクト管理推進 PM 0.3人月 中濱 NWチーム 現行NW設計構築運用チーム オンプレNW・DX・TGWを主に担当 今回のPJでは以下を主に実施 ・Firewallルール設定変更・運用 ・移行に伴うTGW設定変更 AWS開発担当 AWS Network Firewall設計構築 要件定義に従い、システムの設計・開発・試 験・移行を実施 グループ会社A AWS Network Firewall の検査対象となるAWSを 利用。移行方式・移行日 時・移行時のテスト等のすり 合わせ。移行立ち合い。 リーダー 0.2人月 xxxxxx 運用 0.3人月 ｘｘｘｘ 設計・構築0.2人月 ｘｘｘ リーダー 0.7人月 Xxx メンバー 0.4人月 xxxx 現行運用 0.2人月 xxxxx 責任者 部長 XXXXX 担当者 xxxxxx SECURITY チーム CSIRTチーム 全社的なセキュリティ担当 要件定義・運用方針のすり合わ せ 部長 xxxxxx グループ会社B AWS Network Firewall の検査対象となるAWSを 利用。移行方式・移行日 時・移行時のテスト等のすり 合わせ。移行立ち合い。 責任者 部長 XXXXX 担当者 xxxxxx
15. 3.プロジェクト概要（スケジュール・体制・成果物） 本番システムへの適用を約8ヶ月かけて部署横断プロジェクトとして実施 利用者環境に見立てたPOC環境を作成し、テスト(機能、非機能、運用、移行リハ）を実施 導入プロジェクトのスケジュール・成果物は以下の通り
16. AGENDA 1. AWS Network Firewall概要 2. AWS Network Firewall導入の背景 3. プロジェクト概要（スケジュール・体制・成果物） 4.設計の考慮点 5. 導入時の課題 6. 終わりに 7. 参照資料
17. 4.設計の考慮点 マルチAZ構成の場合はアプライアンスモードを有効にする！ マルチAZのNetworkFirewallでインスペクションする場合は、１つのトラフィックフローでは同じAZを通る必要がある。 要は、行きと帰りの通信フローが同じAZのGWLBeを通らないと、非対称ルーティングとなりパケットがドロップされる ※資料はBlackBelt [Gateway Load Balancer] アプライアンスモード有効：同一フローのトラフィックは同じGWLBエンドポイントを通る アプライアンスモード無効：別々のGWLBeに向かうので、トラフィックが確立できない
18. 4.設計の考慮点 AWS Network Firewallの配置方針(分散型[個別構成]、集約型）を決定する AWS Network Firewallのデプロイモデル https://aws.amazon.com/jp/blogs/news/networking-and-content-delivery-deployment-models-for-aws-network-firewall 展開モデル Network Firewallには、複数のデプロイモデルがあります。適切なモデルは、ユースケースと要件によって異なります。 大きく次のようなモデルがあります。 ◼ 分散型：個々のVPCにデプロイするモデル ◼ 集約型：East-West（VPCからVPC）やNorth-South（インターネットやオンプレミスへの通信）のトラフィックを集約する検査用VPCにデプロイするモデル ◼ 複合型：上記モデルの組み合わせ。例として、インターネットからVPC内への通信は個々のVPCにデプロイしたNetwork Firewallで検査、VPC同士の通信は 検査用VPCにデプロイした Network Firewallで検査するようなモデルデプロイモデルごとに、Network Firewallを他のサービスを組み合わせることができます。
19. 4.設計の考慮点 案１.分散型(個別構成) AWS Network Firewallの配置方針(分散型[個別構成]、集約型）を決定する VPC x 会社A VPC x 会社B Transit Gateway DX Gateway DC 会社A拠点 会社B拠点 VPC x 会社A VPC x 会社B Transit Gateway DX Gateway DC 会社A拠点 会社B拠点 案2.集約型 AWS Network Firewall AWS Network Firewall AWS Network Firewall ・各社毎にFirewallポリシーを設 定可能 ・独立して管理でき、設定ミスの 可能性を軽減、影響範囲を限定 可能 ・各社毎にNWFWコストがかかる (AWS利用料金） ・各社毎にNWFWが必要になる ため、接続先が増加するたびに、 NWFW構築コスト要 ・管理対象のNWFW増える ・接続先が増えてもコスト（AWS 利用料、構築コスト）がかからな い。※通信料金除く ・1つのNWFWのみ管理 ・ルール一元管理可能 ・設定ミス時の影響範囲が大きい ・将来的にNWFWクォートを超え る場合に検討が必要 ・Firewallポリシー、ルールグルー プ設計が煩雑になる メリット メリット デメリット デメリット ※この図は概念図であり、実接続構成ではありません
20. 4.設計の考慮点 案2-1.集約型(TGW分離) AWS Network Firewallの配置方針(分散型[個別構成]、集約型）を決定する VPC x 会社A VPC x 会社B Transit Gateway VPC x 会社A VPC x 会社B Transit Gateway 案2-2.集約型(TGW集約） ・通信経路がInspection VPC により物理的に分離可能 ・接続先が追加になった際に、追 加TGW変更が主で、既存TGW 設定変更が限定的のため、既存 業務への影響が少ない ・マルチAZにアプライアンスモード 有効不可(ノックアウト） ・追加TGW分の構築・運用・ AWS利用量コスト増 ・案2-2より設定・変更箇所増 ・移行時に利用者に依頼事項あ り(TGWアタッチメント) ・アプライアンスモード有効により、 にマルチAZ構成可能 ・移行時にTGWルートテーブル変 更のみで対応可能 ・案2-1に比べてコスト減 ・既存TGWを設定ミスをした際に、 既存業務への影響あり メリット メリット デメリット デメリット 追加 Transit Gateway Inspection VPC Private subnet Private subnet Private subnet Private subnet Private subnet Private subnet Inspection VPC Private subnet Private subnet Private subnet Private subnet
21. AGENDA 1. AWS Network Firewall概要 2. AWS Network Firewall導入の背景 3. プロジェクト概要（スケジュール・体制・成果物） 4. 設計の考慮点 5.導入時の課題 6. 終わりに 7. 参照資料
22. 5.導入時の課題 想定外事象概要 事象 ：利用者端末からAWSへのSSHが5分程度でタイムアウト 原因 ：NW Firewallが内部的に使用しているGateway Load BalancerのTCPアイドルタイムアウトが350秒固定が原因 対策 ：利用者のSSHのkeepaliveを60秒に設定いただき、運用で回避いただくことで合意 (コネクションがアイドルになっても切断されないようにkeepaliveパケットを60秒毎に送信する設定) 移行直後に以下の想定外事象が発生した Troubleshooting general issues in Network Firewall https://docs.aws.amazon.com/network-firewall/latest/developerguide/troubleshooting-general-issues.html Long TCP idle timeouts – Check if you have applications with long TCP timeouts. Network Firewall uses a Gateway Load Balancer (GWLB) endpoint to distribute flows to backend firewall instances. Gateway Load Balancer has a fixed idle timeout for TCP flows. Once the idle timeout is reached or a TCP connection is closed for a flow, it is removed from Gateway Load Balancer's connection state table. AWS Gateway Load Balancer が設定可能な TCP アイドルタイムアウトのサポートを開始(2024年9月5日) https://aws.amazon.com/jp/about-aws/whats-new/2024/09/aws-gateway-load-balancer-tcp-idle-timeout/ 本日、AWS Gateway Load Balancer (GWLB) は、GWLB の TCP アイドルタイムアウト値をクライアントおよびターゲットアプライアンスに合わせることができる新機能をリリースします。この機 能を使用することで、GWLB を使用するときに、金融アプリケーション、データベース、ERP システムなど、実行時間の長いフローを使用するアプリケーションのステートフルな検査と微調整を中断なく実 行できるようになります。 今回のリリース以前は、TCP アイドルタイムアウトは 350 秒という固定値でした。これにより、一部のアプリケーションの長時間のトラフィックフローが中断される場合がありました。今回のリリースにより、 GWLB の TCP アイドルタイムアウトを 60 秒から 6000 秒の間の値に柔軟に設定できるようになりました。デフォルトは下位互換性のために 350 秒のままです。この構成は、アプリケーションのニー ズに基づいてターゲットのスティッキネスを最適な期間維持することで、トラフィックフローの中断を削減するのに役立ちます。既存の GWLB および新しく作成した GWLB で 「tcp.idle_timeout.seconds」リスナー属性を使用して TCP アイドルタイムアウト値を設定できます。 ちなみに、以下の新機能の発表が最近あり、もしかするとAWS Network Firewall側も変更になっているかと思い確認しましたが、 AWS Network Firewall側のドキュメント記載に変更はなく、上記のGLB has a fixed idle timeout for TCP flowsのままでした。
23. AGENDA 1. AWS Network Firewall概要 2. AWS Network Firewall導入の背景 3. プロジェクト概要（スケジュール・体制・成果物） 4. 設計の考慮点 5. 導入時の課題 6.終わりに 7. 参照資料
24. 6.終わりに ・AWS Network Firewallは内部的に使用しているGateway Load Balancerが曲者 ・マルチAZ構成にする場合は、アプライアンスモードが必須 ・アプライアンスモードを利用するには、TGW接続構成は要確認 ・AWS Network FirewallはTGWの知識が必要（移行に限っては9割はTGWルートテーブルの変更） ・よほどの理由がない限りは分散構成[個別構成]よりは集約構成 ・AWS Network Firewallを導入すると、AWS Certified Advanced Networking – Specialtyの勉強 ができて一石二鳥 恐竜がAWS Network Firewallを導入してみた振り返りです
25. AGENDA 1. AWS Network Firewall概要 2. AWS Network Firewall導入の背景 3. プロジェクト概要（スケジュール・体制・成果物） 4. 設計の考慮点 5. 導入時の課題 6. 終わりに 7.参照資料
26. 7.参照資料(AWS Network Firewall) AWS公式ドキュメント AWS Network Firewall Service Level Agreement https://aws.amazon.com/jp/network-firewall/sla/ AWS Network Firewall Developer Guide https://docs.aws.amazon.com/network-firewall/latest/developerguide/what-is-aws-network-firewall.html Amazon Web Services ブログ AWS ネットワークファイアウォール – VPC 用の新しいマネージド型ファイアウォールサービス https://aws.amazon.com/jp/blogs/news/aws-network-firewall-new-managed-firewall-service-in-vpc/ AWS Network Firewallのデプロイモデル https://aws.amazon.com/jp/blogs/news/networking-and-content-delivery-deployment-models-for-aws-network-firewall/ AWS Network Firewall 柔軟なルールエンジンのハンズオンウォークスルー (Part 2) https://aws.amazon.com/jp/blogs/news/hands-on-walkthrough-of-the-aws-network-firewall-flexible-rules-engine-part-2/ AWS Network Firewall の送信 TLS 検査が新たにすべてのリージョンで利用可能に https://aws.amazon.com/jp/about-aws/whats-new/2023/12/aws-network-firewall-egress-tls-inspection-available-all-regions/ Deployment models for AWS Network Firewall https://aws.amazon.com/jp/blogs/networking-and-content-delivery/deployment-models-for-aws-network-firewall/ AWS Black Belt [AWS Black Belt Online Seminar] AWS Network Firewall 入門 https://pages.awscloud.com/rs/112-TZM-766/images/BlackBelt202106_AWS_Network_Firewall_Basic.pdf [AWS Black Belt Online Seminar] AWS Network Firewall 応用編1 https://pages.awscloud.com/rs/112-TZM-766/images/202110_AWS_Black_Belt_Network_Firewall_advanced01.pdf AWS公式の参照資料は以下の通り
27. 7.参照資料(AWS Network Firewall) Blog [新サービス] VPC 向け AWS マネージドファイアウォールサービス「AWS Network Firewall」がリリースされました https://dev.classmethod.jp/articles/aws-network-firewall/ AWS Transit Gatewayを使ってAWS Network Firewallを通らないように変更する際にダウンタイムが発生するケースを考えてみた https://dev.classmethod.jp/articles/aws-transit-gateway-not-go-through-aws-network-firewall-downtime/ AWS Transit Gatewayを使ってAWS Network Firewallを通らないバイパスを作ってみた https://dev.classmethod.jp/articles/aws-network-firewall-bypass-aws-transit-gateway/ AWS Network Firewall のルールグループと評価の流れを詳細に理解する ※ハマりポイントも解説しています https://blog.serverworks.co.jp/network_firewall_rule 【徹底解説】AWS Network FirewallとAWS Transit Gatewayを用いたマルチVPCアーキテクチャ https://blog.serverworks.co.jp/aws-network-firewall-and-transit-gateway AWS Network firewall の HOME_NET 変数が変更可能になったので触ってみた https://blog.serverworks.co.jp/aws_network_firewall_home_net AWS Network Firewallを分かりやすく解説してみる https://blog.serverworks.co.jp/all-about-aws-network-firewall AWS公式外の参照資料は以下の通り
28. 7.参照資料(Gateway Load Balancer) AWS公式ドキュメント Elastic Load Balancing https://pages.awscloud.com/rs/112-TZM-766/images/20210331_AWS-Blackbelt_GatewayLoadBalancer.pdf Gateway Load Balancer とは？ https://docs.aws.amazon.com/ja_jp/elasticloadbalancing/latest/gateway/introduction.html Elastic Load Balancing の特徴(製品の比較) https://aws.amazon.com/jp/elasticloadbalancing/features/#Product_comparisons Amazon Web Services ブログ Introducing configurable TCP idle timeout for Gateway Load Balancer(by Ankit Chadha and Milind Kulkarni | on 05 SEP 2024 | ) https://aws.amazon.com/jp/blogs/networking-and-content-delivery/introducing-configurable-tcp-idle-timeout-for-gateway-load-balancer/ Gateway Load Balancer の設定可能な TCP アイドルタイムアウトのご紹介 https://aws.amazon.com/jp/blogs/news/introducing-configurable-tcp-idle-timeout-for-gateway-load-balancer/ AWS Black Belt [AWS Black Belt Online Seminar]AWS Gateway Load Balancer https://pages.awscloud.com/rs/112-TZM-766/images/20210331_AWS-Blackbelt_GatewayLoadBalancer.pdf AWS公式の参照資料は以下の通り