c3.13 アウトバウンドトラフィックを制御する

egress を制御する理由

egress の制御は、インスタンスが本来通信すべき先とのみやり取りすることを保証し、マルウェアのコマンド＆コントロールへのコールバックやデータ持ち出しのトンネルをブロックします。AWS は補完的な制御をいくつか提供します。

DNS フィルタリング

Route 53 Resolver DNS Firewall は VPC のアウトバウンド DNS をフィルタリングします。明示的に信頼するドメイン以外をすべて拒否します。AWS Firewall Manager 経由で複数アカウントに一元的に、簡単にデプロイできます。IP ではなく名前解決をブロックするため、単体では IP アドレスに直接接続するクライアントに回避されます。下記の解決済み IP の検証と組み合わせて、このギャップを塞いでください。マルウェアのコールバックの多くはドメインを使うため、DNS フィルタリングは引き続き多くの感染を取得段階で阻止します。

ネットワークファイアウォールとプライベート経路

• AWS Network Firewall は VPC 出入りのレイヤー 3〜7 のトラフィックを検査し、VPC 間（イースト・ウエスト）やオンプレミスの検査に対応します。
• AWS PrivateLink は、パートナーや AWS サービスへのトラフィックを完全にインターネットの外に保ちます。
• ドメインの許可リストとコンテンツフィルタリングのためのアウトバウンドプロキシや、AWS Marketplace の次世代ファイアウォールをデプロイすることもできます。

解決済み IP の検証で回避を防ぐ

ドメインの許可リストは回避される可能性があります。クライアントが IP アドレスに直接接続したり、SNI や Host ヘッダーに許可されたドメインを示しながら別の宛先に接続したりできるためです。Network Firewall のポリシーで Route 53 Resolved IP Validation（解決済み IP の検証） を有効にすると、VPC Resolver が実際に返した宛先 IP への接続のみが許可されます。追加料金なしで、HTTP/HTTPS 以外の SSH や SFTP などのプロトコルにもドメインフィルタリングを拡張できます。

• 検査対象のトラフィックを送る VPC に関連付けた DNS Firewall ルールグループを参照します。関連付けられたすべての VPC の解決結果は 1 つの共有プールにまとめられるため、無関係な VPC は含めないでください。
• まずアラートモード（ファイアウォールのログ記録が必要）で開始し、ブロックされる通信を確認してから、ドロップまたはリジェクトに切り替えます。
• 解決結果はアベイラビリティーゾーンごとに記録されるため、各サブネットは同じゾーンのファイアウォールエンドポイントにルーティングします。集中型の検査 VPC では Transit Gateway にアタッチしたファイアウォールを使い、スポーク VPC の CIDR を送信元範囲に追加します。デフォルトではファイアウォール VPC 自身の CIDR のみが検証されるためです。

egress ログを SIEM に送る

ファイアウォールとプロキシのログを SIEM / Security Lake に送り、シャドー IT の検出や追加アラートの設定に使います。