すべてのプロダクト
Search

このプロダクト

    Cloud Firewall:クイックスタート： Cloud Firewall によるクラウド アセットの統合保護

    ドキュメントセンター

    Cloud Firewall:クイックスタート： Cloud Firewall によるクラウド アセットの統合保護

    最終更新日:Oct 16, 2026

    Cloud Firewall は、クラウド アセットに統合的、効率的、かつインテリジェントなセキュリティを提供する SaaS (Software-as-a-Service) 型ファイアウォールです。このガイドでは、初めて利用するユーザーを対象に、サービスの有効化、アセットの自動保護から、セキュリティポリシーの設定、効果の検証までのプロセスを説明し、クラウド環境におけるネットワーク防御の第一線を迅速に確立できるよう支援します。

    ステップ 1： Pay-as-you-go 版 Cloud Firewall の有効化

    1. Cloud Firewall 購入ページ にアクセスし、[Product Type] を 従量課金 2.0 に設定し、以下の設定を行います。

      パラメーター

      説明

      [Auto Protection for Internet Assets]

      「はい」 を選択すると、すべてのパブリックアセットが自動的にファイアウォールに追加され、新しいアセットに対しても保護が有効になります。この設定は後でコンソールで変更できます。

      [Log Analysis] および [Log Analysis and Storage Capacity]

      アクセスログを保存するため、デフォルト設定を維持することを推奨します。この機能により、保護対象アセットのトラフィックログをリアルタイムで収集、クエリ、分析、処理でき、コンプライアンス要件を満たす上で役立ちます。

      [Service-linked Role]

      トラフィックのアクセス制御や監視などの機能を提供するため、Cloud Firewall はクラウドリソースへのアクセスを必要とします。[Create Service-linked Role] をクリックします。システムは自動的に AliyunServiceRoleForCloudFW というサービスにリンクされたロールを作成します。このロールは変更しないでください。

    2. Cloud Firewall (Pay-as-you-go) サービス規約を読み、同意した上で、今すぐ購入 をクリックして支払いを完了します。

    ステップ 2：パブリックアセットと保護ステータスの表示

    1. Cloud Firewall コンソールにログインします。左側メニューで、スイッチ をクリックします。

    2. インターネットボーダー タブで、Alibaba Cloud アカウント内のパブリックアセットとその保護ステータスを表示できます。購入時に[Auto Protection for Internet Assets]を有効にしたため、すべてのパブリックアセットの ファイアウォールのステータス 列は、デフォルトで [保護中]に設定されています。

    ステップ 3：侵入防止システム (IPS) の確認

    Cloud Firewall に搭載されている侵入防止システム (IPS) は、ネットワーク攻撃、脆弱性悪用、ブルートフォース攻撃、ワームの伝播、暗号通貨マイニング活動、バックドア通信、サービス拒否 (DoS) 攻撃など、既知のさまざまな脅威をリアルタイムで検出してブロックします。

    以下の手順で IPS ルールを表示します。

    1. 左側メニューで、緩和設定 > IPS の設定 を選択します。

    2. デフォルトでは、システムは[基本防御] 機能と[仮想パッチ] 機能を有効にし、[Threat Engine Mode] を、ほとんどのユースケースに適した「ブロック - 中」 に設定します。

    ステップ 4：アクセス制御 (ACL) ポリシーの設定

    Cloud Firewall を使用すると、アセットごとに独立したアクセス制御ポリシーを設定でき、インバウンドおよびアウトバウンドトラフィックをきめ細かく制御できます。

    デフォルトでは、Cloud Firewall には[アクション]が[リリース] に設定されたいくつかのポリシーが含まれています。これらは、左側メニューで 緩和設定 > アクセス制御 > ポリシーの構成 > インターネットボーダー を選択することで表示できます。

    方向

    [アクセスソース]

    宛先

    [プロトコル]

    [ポート]

    説明

    アウトバウンド

    0.0.0.0/0

    0.0.0.0/0

    ICMP

    -

    クラウド アセットがネットワーク接続テストのために ping などのアウトバウンド ICMP リクエストを送信することを許可します。

    アウトバウンド

    0.0.0.0/0

    0.0.0.0/0

    UDP

    53

    クラウド アセットがウェブサイトへのアクセスやサービス検出などのドメイン名解決のために DNS クエリリクエストを送信することを許可します。

    アウトバウンド

    0.0.0.0/0

    0.0.0.0/0

    UDP

    123

    クラウド アセットが正確なシステム時刻を確保するために NTP サーバーに接続して時刻同期を行うことを許可します。

    インバウンド

    0.0.0.0/0

    0.0.0.0/0

    ICMP

    -

    外部ネットワークが接続チェックや診断のためにクラウド アセットに対して ping 操作を実行することを許可します。

    ほとんどのサイバー攻撃はパブリックネットワークから発生するため、ビジネスニーズに合わせたセキュリティポリシーを設定する必要があります。「許可リスト」 アプローチを使用することを推奨します。具体的には、最も優先度の低い「すべて拒否」 のキャッチオールポリシーを作成し、その上位に特定の許可ポリシーを追加します。

    重要

    • 設定ミスのリスク： 以下のポリシー例は一般的な参考情報であり、「すべて拒否」 ルールが含まれています。これらを本番環境に直接適用すると、サービスが中断する可能性があります。明示的な許可ルールに一致しないトラフィックは、キャッチオールポリシーによってブロックされます。

    • 設定に関する推奨事項：

      1. 順序の重要性： 常に許可リストのルールをキャッチオール拒否ルールの前に配置してください。デプロイする前に、拒否ルールの前に、必要なすべてのビジネストラフィックに対する許可ルールが追加されていることを確認してください。

      2. 段階的な検証： 初期段階では、キャッチオールポリシーのアクションを[観測] に設定します。[ログ監査] でトラフィックを分析し、信頼できるビジネスクリティカルなトラフィックのみを許可するようにポリシーを徐々に調整します。すべての正当なトラフィックが許可されていることを確認した後、アクションを[拒否] に変更します。

      3. 環境の分離： テスト環境では、「すべて拒否」のキャッチオールルールを有効にできます。本番環境では、完全な許可リストをすぐに定義できない場合、本番サービスの中断を避けるために、キャッチオールポリシーの送信元アドレスをテスト用の IP 範囲に制限してください。

    1. ポリシーの設定：緩和設定 > アクセス制御 > ポリシーの構成 > インターネットボーダー ページに移動し、次のルールを設定します。

      インバウンド (優先度の高い順)：

      送信元

      宛先

      プロトコル

      アプリケーション

      ポート

      アクション

      Alibaba Cloud の信頼できる IP

      クラウド アセットのパブリック IP

      すべて

      ANY

      すべて

      許可

      クラウドサービス (例：WAF、Anti-DDoS) のバックトゥオリジン IP アドレス

      クラウド アセットのパブリック IP

      すべて

      ANY

      すべて

      許可

      信頼できるリモート O&M スタッフまたは踏み台サーバーの IP アドレス

      クラウド アセットのパブリック IP

      TCP

      RDP, SSH

      3389, 22

      許可

      信頼できる O&M スタッフの IP アドレス

      クラウド アセットのパブリック IP

      ICMP

      ANY

      -

      許可

      すべて

      Web サービス用のクラウド アセットのパブリック IP

      TCP

      HTTPS

      443

      許可

      すべて

      API サービス用のクラウド アセットのパブリック IP

      TCP

      HTTP

      各 API ポート

      許可

      すべて

      すべて

      すべて

      すべて

      すべて

      拒否

      アウトバウンド (優先度の高い順)：

      送信元

      宛先

      プロトコル

      アプリケーション

      ポート

      アクション

      すべて

      Alibaba Cloud の信頼できる IP、Alibaba Cloud の信頼できるドメイン

      すべて

      ANY

      すべて

      許可

      すべて

      ソフトウェアリポジトリ、証明書サービス

      すべて

      ANY

      すべて

      許可

      すべて

      信頼できるドメイン (例：Microsoft、Google、Windows)

      TCP

      HTTPS, HTTP

      すべて

      許可

      すべて

      すべて

      UDP

      ANY

      53, 123

      許可

      すべて

      すべて

      ICMP

      ANY

      -

      許可

      すべて

      すべて

      すべて

      すべて

      すべて

      拒否

    2. ACL エンジンモードの調整：デフォルトのモードでは、初期設定時の誤検知を防ぐために、認識されないアプリケーションやドメインからのトラフィックが許可されます。ポリシーが正しいことを確認した後、右上隅の ACL エンジン管理 をクリックし、アセットの ACL エンジンモード を[厳密モード] に変更します。

    3. 検証とテスト：ポリシーを設定してから 3～5 分後に、ping や curl などのコマンドを使用して接続性をテストします。その後、Cloud Firewall コンソールを更新し、ヒットカウント/直近のヒット時間 列の数をクリックすると、ログ監査 ページで対応するログが表示されます。

    これで、このクイックスタートガイドは完了です。ニーズに応じて、以下のいずれかのオプションを選択してください：

    • (推奨) Cloud Firewall の使用を継続する：高度な最適化に進み、エンタープライズレベルのセキュリティとコンプライアンスに対応するために設定を最適化します。

    • Cloud Firewall の使用を停止する：リソースの解放に進み、課金を停止します。

    高度な最適化

    アドレス帳の使用

    アクセス制御ポリシーが複雑になると、「アドレス帳」 を使用することで管理が大幅に簡素化されます。オフィスの出口 IP や信頼できるパートナーの IP など、ビジネス関連の IP アドレスのグループを事前に定義し、ポリシーでそのアドレス帳を参照できます。

    1. 緩和設定 > アドレス帳 ページに移動します。

    2. Alibaba Cloud サービス IP アドレス帳 タブをクリックして、Alibaba Cloud が提供するアドレス帳を表示します。

    3. カスタム IP アドレス帳 タブをクリックし、Create Address Book をクリックして、頻繁に使用する IP アドレスのコレクションを定義します。詳細については、「アドレス帳」をご参照ください。

    IPS の設定

    デフォルトの「ブロック - 中」 モードはほとんどのシナリオに適しています。ただし、以下の状況では IPS の設定を調整する必要がある場合があります：

    • 高リスクの保護シナリオ (頻繁な攻撃や重要なセキュリティ期間中など)：

      • 信頼できる IP アドレスを[保護ホワイトリスト] に追加します。

      • [Threat Engine Mode] を「ブロック - 厳格」 に変更します。

      • [脅威情報] 機能を有効にします。

    • 誤検知率が高い場合：

      • 信頼できる IP アドレスを[保護ホワイトリスト] に追加します。

      • [Threat Engine Mode] を「ブロック - 緩い」 に変更します。

      • 問題が解決しない場合は、モードを[観測] に変更します。

    VPC ファイアウォールの有効化

    複数の Virtual Private Cloud (VPC) ネットワークを使用している場合や、Cloud Enterprise Network を使用してオンプレミスのアセットを接続している場合は、VPC ファイアウォールを有効にできます。これにより、Transit Router を介して接続された VPC 間、および Express Connect を介して接続された VPC とオンプレミスのデータセンター間の東西トラフィックを検査および制御し、内部ネットワークトラフィックを保護します。

    サブスクリプションプランの使用

    Cloud Firewall を長期間使用する予定がある場合は、サブスクリプションの購入を推奨します。または、Pay-as-you-go モデルとセービングプランを組み合わせてコストを削減することもできます。

    リソースの解放と課金の停止

    このガイドで作成した Cloud Firewall インスタンスが不要になった場合は、概要 ページに移動し、右上隅で さらに表示 > セルフサービスリリース を選択します。