Cloud Firewall:Cloud Firewall (従量課金) のクイックスタート

ステップ 1: 従量課金 Cloud Firewall の有効化

1. 「Cloud Firewall 購入ページ」に移動します。[プロダクトタイプ] を 従量課金 に設定し、次の設定項目を完了します。

   設定項目	説明
   Auto Protection for Internet Assets	[はい] を選択すると、すべてのパブリックアセットが自動的にファイアウォールに追加され、新しいアセットの自動保護が有効になります。この設定は後でコンソールで調整できます。
   Log Analysis および Log Analysis and Storage Capacity	アクセスログを保存するデフォルトオプションを維持します。この設定により、保護されたアセットからのトラフィックログのリアルタイム収集、クエリ、分析、処理、および消費が可能になり、等級保護コンプライアンス要件を満たします。
   Service-linked Role	トラフィックのアクセスの制御と監視分析機能を提供するために、Cloud Firewall はご利用の Alibaba Cloud サービスリソースへのアクセスを必要とします。[サービスリンクロールを作成] をクリックします。システムは自動的にロール AliyunServiceRoleForCloudFW を作成します。このロールを手動で変更しないでください。

2. Cloud Firewall (従量課金)サービス利用規約を読んで同意し、Buy Now をクリックして支払いを完了します。

ステップ 2: アセット保護の表示

1. Cloud Firewall コンソールにログインします。 左側のナビゲーションウィンドウで、Switchをクリックします。

2. インターネットボーダー タブで、現在の Alibaba Cloud アカウント配下のパブリックアセットと、その保護ステータスを確認できます。購入時に Auto Protection for Internet Assets を有効にしたため、デフォルトでは、すべてのパブリックアセットが Protected ステータスになっています。

ステップ 3: デフォルト IPS 保護の理解

Cloud Firewall には、侵入防止 (IPS) 機能が含まれており、以下の脅威を自動的にブロックします。

• ネットワーク攻撃 (SQL インジェクション、XSS、コマンドインジェクション)

• 脆弱性エクスプロイト (CVE追跡型脆弱性)

• ブルートフォース攻撃 (SSH、RDP、データベースログイン)

• ワーム伝播とクリプトマイニングアクティビティ

• バックドアトロイの木馬通信

• サービス拒否 (DoS) 攻撃

IPS ルールを表示するには、以下の手順に従います。

1. 左側のナビゲーションウィンドウで、Prevention Configuration > IPS の設定 を選択します。

2. デフォルトでは、システムはBasic Protectionと仮想パッチを有効にします。これには、日常的なセキュリティ保護シナリオに適した、[ブロック - 中] の Threat Engine Mode が使用されます。

ステップ 4: アクセス制御 (ACL) ポリシーの構成

アクセス制御 (ACL) ポリシーは、どのトラフィックがご利用のサーバーに到達するかを定義します。ホワイトリストアプローチを使用します。必要なトラフィックを明示的に許可し、その他すべてを拒否します。

デフォルトで、Cloud Firewall には、アクション が リリース に設定された次のポリシーが含まれており、これらは左側のナビゲーションウィンドウの Prevention Configuration > Access Control > Policy Configuration > インターネットボーダー で確認できます。

ほとんどのネットワーク攻撃リスクはインターネットから発生します。そのため、実際のビジネスニーズに合ったセキュリティポリシーを構成してください。ホワイトリストアプローチを使用します。低優先度のキャッチオールポリシーを [すべて拒否] アクションで作成し、その上に特定の許可ルールを追加します。

1. ポリシーの設定：「Prevention Configuration > Access Control > Policy Configuration > インターネットボーダー」ページに移動して、以下の設定を行います：

   インバウンド (優先度: 高から低):

   ソース	目的	プロトコル	アプリケーション	ポート	アクション
   Alibaba 信頼済み IP	クラウド資産のパブリック IP	すべて	ANY	すべて	許可
   Alibaba Cloud サービスのオリジン URL (例: WAF、DDoS)	クラウド資産のパブリック IP	すべて	ANY	すべて	許可
   信頼できる O&M エンジニアまたは Bastionhost アドレス	クラウド資産のパブリック IP	TCP	RDP、SSH	3389、22	許可
   信頼済み運用および保守 (O&M) エンジニア アドレス	クラウド資産のパブリック IP	ICMP	ANY	-	許可
   すべて	ウェブサービスを提供するクラウド資産のパブリック IP	TCP	HTTPS	443	許可
   すべて	API サービスを提供するクラウド資産のパブリック IP	TCP	HTTP	対応する API ポート	許可
   すべて	すべて	すべて	すべて	すべて	拒否

   アウトバウンド (優先度: 高から低):

   ソース	目的	プロトコル	アプリケーション	ポート	アクション
   すべて	Alibaba 信頼済み IP、Alibaba 信頼済みドメイン	すべて	ANY	すべて	許可
   すべて	ソフトウェアリポジトリ、証明書サービス	すべて	ANY	すべて	許可
   すべて	Microsoft、Google、Windows などの信頼済みドメイン	TCP	HTTPS、HTTP	すべて	許可
   すべて	すべて	UDP	ANY	53、123	許可
   すべて	すべて	ICMP	ANY	-	許可
   すべて	すべて	すべて	すべて	すべて	拒否

2. ACL エンジンモードの調整: デフォルトでは、Cloud Firewall は未認識のアプリケーションまたはドメインを含むトラフィックを許可し、ポリシーの初期設定時に誤検知によるブロックを防止します。ポリシーが正しく設定されていることを確認した後、右上隅の ACL エンジン管理 をクリックし、資産の ACL エンジンモード を 厳密モード に切り替えます。

3. 検証テスト: ポリシーを設定した後、3～5 分待ちます。ping や curl などのコマンドを使用してテストします。その後、Cloud Firewall コンソールをリフレッシュし、ヒットカウント/直近のヒット時間 列の数字をクリックして、ログ監査 ページに移動し、ヒットログを表示します。