ネットワーク攻撃による脅威を軽減し、インターネットへの露出を減らし、ビジネストラフィックのセキュリティリスクを最小限に抑えるために、すべてのパブリックアセットに対してインターネットファイアウォールを有効にすることを推奨します。この機能はワンクリックで有効にでき、ビジネスルートを変更することなく数秒で保護が有効になります。保護を有効にすることは、Cloud Firewall を使用するための前提条件です。侵入防止システム (IPS)、アクセス制御ポリシー、トラフィック分析、ログ監査などのモジュールの設定は、アセットを保護した後に初めて有効になります。
適用範囲
インターネットファイアウォールは、アカウント内のパブリック IPv4 および IPv6 アセットの アウトバウンド および インバウンド のトラフィックを保護します。他のアカウントのアセットを保護するには、エンタープライズ認定を完了し、統合されたマルチアカウント管理を設定する必要があります。
サポート対象のアセットタイプ
IPv4 アセット：AI Gateway パブリック IP アドレス、ALB EIP、API Gateway パブリック IP アドレス、Bastionhost アウトバウンド IP アドレス、Bastionhost IP アドレス、Bastionhost インバウンド IP アドレス、EIP、Wuying Workspace (Enterprise Edition) パブリック IP アドレス、ECS EIP、ECS パブリック IP アドレス、ENI EIP、GA EIP、HAVIP、NAT EIP、NAT Gateway パブリック IP アドレス、NLB EIP、Server Load Balancer (SLB) EIP、SLB パブリック IP アドレス、Simple Application Server パブリック IP アドレス、VPN Gateway パブリック IP アドレス。
IPv6 アセット：AI Gateway パブリック IPv6 アドレス、ALB IPv6、API Gateway パブリック IPv6 アドレス、ECS IPv6、ENI EIP IPv6、GA EIP IPv6、NLB IPv6、Server Load Balancer (SLB) IPv6。
GA EIP および GA EIP IPv6 の場合、次の条件を満たす必要があります。
アクセラレーション IP アドレスが属する GA インスタンスは、[標準 GA インスタンス] である必要があります。
アクセラレーション IP アドレスは [EIP] タイプである必要があります。
高速化 IP アドレスが属する加速エリアは、Alibaba Cloud の POP (Point of Presence) であってはなりません。
加速エリアが Alibaba Cloud の POP であるかどうかを確認するには、ListAvailableBusiRegions API を呼び出してください。
サービスへの影響
アセットに対するインターネットファイアウォール保護は、ネットワークトポロジーを変更することなく、ワンクリックで数秒のうちに有効にできます。
ルーティングとネットワークアーキテクチャ：ルートの変更は不要です。
誤検知のリスク
侵入防止システム (IPS)：デフォルトでは、脅威エンジンは 拒否 - 中 モードで動作します。これは、誤検知率が低く、日常的なセキュリティ保護シナリオに適しています。ビジネストラフィックの継続性が非常に重要な場合は、まず脅威エンジンモードを [観察] に設定し、後で必要に応じて調整できます。設定の詳細については、「IPS の設定」をご参照ください。
アクセス制御ポリシー：デフォルトでは、すべてのルールアクションが [リリース] に設定されています。これにより、誤ブロックのリスクは排除されますが、保護機能は提供されません。保護を有効にした後、必要に応じてポリシーを調整することを推奨します。詳細については、「アクセス制御ポリシーの概要」をご参照ください。
保護仕様
2025 年 10 月 15 日より、Cloud Firewall は 課金方法 2.0 を導入します。新規ユーザーはデフォルトで課金方法 2.0 を使用し、既存のユーザーは引き続き 課金方法 1.0 を使用します。インターネットファイアウォールの保護仕様は、2 つの課金方法で異なります。
課金方法 2.0
課金方法 2.0 では、課金は ファイアウォールインスタンス数 と パブリックトラフィックの処理量 に基づいて行われます。
ファイアウォールインスタンス数：保護対象の各リージョンが 1 つのインスタンスに対応します。同じリージョン内では、保護対象のパブリック IP アドレスの数や、IP アドレスが IPv4 か IPv6 かに関係なく、消費されるインスタンスは 1 つだけです。
パブリックトラフィックの処理能力：課金は、処理されたパブリックトラフィックの合計のピークに基づいて行われます。これはインバウンド帯域幅とアウトバウンド帯域幅の合計です。
サブスクリプション：各エディションは、特定の数のファイアウォールインスタンスと特定のパブリックトラフィック処理能力を提供します。クォータが不十分な場合は、プランをアップグレードできます。実際のトラフィックが購入した処理能力を超えた場合、超過分のトラフィックは従量課金で請求されます。
従量課金：実際のファイアウォールインスタンス数と処理されたトラフィックの合計のピークに基づいて請求されます。サポートする最大ピーク帯域幅は 10 Gbps です。上限の引き上げをリクエストするには、アカウントマネージャーまたはアーキテクトにお問い合わせください。
課金方法 1.0
課金方法 1.0 では、課金は 保護対象のパブリック IP アドレス数 と パブリックトラフィックの処理量 に基づいて行われます。
保護可能なパブリック IP アドレス数：インターネットファイアウォールで保護できるパブリック IP アドレスの数です。
パブリックトラフィックの処理能力：課金は、処理されたパブリックトラフィックの合計のピークに基づいて行われます。これはインバウンド帯域幅またはアウトバウンド帯域幅のいずれか高い方です。
サブスクリプション：各エディションは、保護可能なパブリック IP アドレスの特定のクォータと特定のパブリックトラフィック処理能力を提供します。クォータが不十分な場合は、プランをアップグレードできます。実際のトラフィックが購入した処理能力を超えた場合、超過分のトラフィックは従量課金で請求されます。
従量課金：実際に保護されているパブリック IP アドレスの数と、処理されたトラフィックの合計のピークに基づいて請求されます。
アセット保護の有効化
Cloud Firewall を有効化する際に、Auto Protection for Internet Assets オプションを [Yes] に設定すると、システムはアカウント内のすべてのパブリックアセットの保護を自動的に有効にするため、以下の手動手順をスキップできます。[No] に設定した場合は、次の手順に従って手動で保護を有効にする必要があります。
Cloud Firewall コンソールにログインします。左側メニューで、スイッチ をクリックします。
インターネットボーダー タブで、アセットの IP アドレスタイプに基づいて [IPv4] または [IPv6] タブをクリックします。
対象のアセットがパブリックアセットリストに表示されない場合は、リストの右上隅にある Synchronize Assets をクリックします。同期には 1～2 分ほどかかります。
次のいずれかの方法で保護を有効にします。
単一のアセットの場合：対象のアセットの行で、操作する 列の Enable Protection をクリックします。
複数のアセットの場合：対象のアセットのチェックボックスを選択し、リストの下にある Enable Protection をクリックします。
新規アセットの自動保護の設定
Automatic Protection for New Assets を有効にすると、マルチアカウント管理が設定されている場合、Alibaba Cloud アカウントとそのメンバーアカウントに追加された新しいパブリックアセットに対して、システムが自動的にインターネットファイアウォール保護を有効にします。パブリックアセットを速やかに保護するために、この機能を有効にすることを推奨します。
Cloud Firewall を有効化する場合：Auto Protection for Internet Assets オプションを使用してこの設定を管理します。
Cloud Firewall を有効化した後：Cloud Firewall コンソールで、スイッチ > インターネットボーダー ページに移動し、右上隅にある 新しいアセットの自動保護 トグルスイッチを使用して設定を管理します。
自動保護対象のアセットタイプを選択：新しいアセットの自動保護 をクリックします。表示される設定パネルで、自動的に保護する新しいアセットタイプとそのリージョンを選択します。設定が完了したら、設定の保存 をクリックして変更を適用します。
次のステップ
アセットのインターネットファイアウォール保護を有効にすると、システムはデフォルトの保護ルールを適用します。誤ブロックを避けるため、デフォルトのポリシーは緩やかに設定されており、限定的な保護しか提供しません。保護設定を次のように最適化することを推奨します。
IPS 脅威エンジンモードの調整：エンジンはデフォルトで 拒否 - 中 モードで動作します。これは日常的なセキュリティシナリオに適しており、誤検知率が低いです。ビジネス要件に基づいて、より緩やかなモードまたはより厳格なモードに切り替えることができます。設定の詳細については、「IPS の設定」をご参照ください。
アクセス制御ポリシーの設定：デフォルトでは、すべてのルールアクションが [リリース] に設定されており、実際の保護は提供されません。必要に応じてこれらのポリシーを調整することを推奨します。ベストプラクティスは、許可リストモデルを採用することです。これにより、デフォルトですべてのトラフィックが破棄され、既知の信頼できるトラフィックのみが許可されます。誤ブロックを防ぐため、厳格なルールを直接適用することは避けてください。[観察] アクションから始めることを推奨します。一定期間トラフィックを監視して安定性を確認した後、アクションを徐々に [ドロップ] に変更できます。設定の詳細については、「インターネットファイアウォールのアクセス制御ポリシーの設定」をご参照ください。
ポリシーを設定した後、次の方法でトラフィックと保護ログを表示できます。
アウトバウンドトラフィック：トラフィック分析 > アクティブなアウトバウンド接続 ページで、ビジネスアセットからインターネットへのアウトバウンド接続のトラフィックデータを表示します。詳細については、「アウトバウンド接続」をご参照ください。
インバウンドトラフィック：トラフィック分析 > パブリックネットワークの公開 ページで、ビジネスアセットにアクセスするインターネットトラフィックに関するデータを表示します。詳細については、「インターネットへの露出」をご参照ください。
侵入防止イベント：スイッチ > インターネットボーダー ページで、対象のアセットを見つけ、[Actions] 列の 攻撃を見る をクリックします。アセットのインバウンドまたはアウトバウンドトラフィックの攻撃データを表示できます。詳細については、「侵入防止」をご参照ください。
詳細なログ監査：レスポンス検出 > ログ監査 > フローログ > トラフィックログ に移動します。インターネット境界 タブで、フィルター条件を設定して、パブリックアセットとインターネット間の詳細なアクセスログを表示します。詳細については、「ログ監査」をご参照ください。
日常の運用
スイッチ > インターネットボーダー タブでは、次の操作を実行できます。
アセットの保護ステータスの表示：ページ上部の情報バーに、ファイアウォールインスタンスの数と保護されているパブリック IP アドレスの数が表示されます。すべて有効化 をクリックしてすべてのアセットをワンクリックで保護するか、保護の詳細を見る をクリックして特定のアセット情報を表示できます。利用可能なインスタンスライセンス数 の数が不十分な場合は、アップグレード をクリックして容量を増やします。
パブリックアセット情報のダウンロード：パブリックアセットリストを CSV ファイルとしてダウンロードできます。パブリックアセットリストの右上隅にある
アイコンをクリックします。次に、ページの右上隅にある ダウンロードタスクの管理 をクリックして、ダウンロードの進行状況を確認します。タスクが完了したら、操作 列の Download をクリックしてファイルをダウンロードします。アセットのインターネットファイアウォール保護の無効化：保護を無効にすると、Cloud Firewall はアセットのトラフィックを管理しなくなります。これにより、アセットが悪意のある攻撃やデータ侵害などのリスクにさらされる可能性があります。注意して操作してください。インターネットボーダー タブで、[IPv4] または [IPv6] タブをクリックします。パブリックアセットリストで対象のアセットを見つけ、操作 列の 保護を無効化 をクリックします。
セキュリティグループへのデフォルト許可ポリシーの適用
ECS アセットのインターネットファイアウォール保護を有効にした後、関連付けられた ECS ベーシックセキュリティグループに、インバウンドトラフィック用のデフォルトポリシーをワンクリックで適用できます。この機能により、パブリックトラフィックの制御が Cloud Firewall に一元化され、統一的な監査と管理が可能になり、ECS コンソールでセキュリティグループを設定する必要がなくなります。
適用範囲
この機能は、ECS パブリック IP アドレスまたは EIP に関連付けられているベーシックセキュリティグループのみをサポートします。エンタープライズセキュリティグループはサポートしていません。
ポリシーロジック
システムは、優先度が 100 (最低) の 4 つのルールを対象のセキュリティグループに自動的に追加します。ロジックは次のとおりです。
パブリックトラフィックの明示的な許可：
0.0.0.0/0の許可ルールが追加されます。このルールは、デフォルトの拒否設定を上書きし、パブリックトラフィックがセキュリティグループを通過して Cloud Firewall によってフィルタリングされるようにします。直接的なプライベートネットワークアクセスのブロック：
192.168.0.0/16、172.16.0.0/12、および10.0.0.0/8からのトラフィックをブロックする拒否ルールが追加されます。これにより、内部ネットワーク内の東西トラフィックが Cloud Firewall をバイパスしてインスタンスに直接アクセスするのを防ぎます。拒否が優先：セキュリティグループのマッチングメカニズムによれば、同じ優先度のルールの場合、拒否ルールが許可ルールよりも優先されます。セキュリティグループに優先度 100 の拒否ルールが既に存在する場合、新しく適用される許可ポリシーはそれを上書きせず、元のセキュリティベースラインを維持します。
ルールの詳細
[ソース] | [プロトコルタイプ] | [ポート範囲] | [ポリシータイプ] | 説明 |
192.168.0.0/16 | ALL | -1/-1 | 拒否 | RFC 1918 プライベートネットワークトラフィックをブロックし、内部トラフィックが保護をバイパスするのを防ぎます。 |
172.16.0.0/12 | ALL | -1/-1 | 拒否 | |
10.0.0.0/8 | ALL | -1/-1 | 拒否 | |
0.0.0.0/0 | ALL | -1/-1 | 許可 | パブリックトラフィックを Cloud Firewall にルーティングして管理するための包括的なルールです。 |
インターネットへの露出リスク：これらのポリシーを適用する前に、すべての ECS アセットがインターネットファイアウォールで保護され、効果的なアクセス制御ポリシーが設定されていることを確認してください。そうでない場合、これらのポリシーを適用すると、パブリックトラフィックがインスタンスに直接到達し、露出リスクが生じる可能性があります。
管理されていないリソースの制限：インターネットファイアウォールで保護されていないリソースにこれらのポリシーを適用しないでください。適用すると、プライベートネットワークトラフィックがブロックされ、パブリックトラフィックは Cloud Firewall によって保護されないため、セキュリティグループによって管理されないままになります。
サービス無効化後の残存ルール：Cloud Firewall サービスを無効化しても、これら 4 つのルールは自動的に削除されません。将来のネットワーク計画やセキュリティポリシーの展開との競合を避けるために、手動で削除する必要があります。
操作手順
Cloud Firewall コンソールにログインします。左側メニューで、スイッチ をクリックします。
インターネットボーダー タブで、[IPv4] タブをクリックします。
パブリックアセットリストで、対象の ECS アセットを見つけ、Default Allow Policies 列の Apply をクリックします。
(オプション) ポリシーの競合を解決します。
自動的に調整可能な競合：セキュリティグループ内の既存のルールが、適用されるルールと同じ優先度を持つが、プロトコルタイプ、ポート範囲、またはソースが異なる場合、ダイアログボックスで Quick Modify をクリックできます。システムは元のルールの優先度を自動的に上げて競合を解決します。
手動での調整が必要な競合：既存のルールが、適用されるルールと同じ優先度、プロトコルタイプ、ポート範囲、およびソースを持つ場合、ECS コンソールのセキュリティグループページでルール優先度を手動で調整する必要があります。詳細については、「セキュリティグループルールの変更」をご参照ください。
ダイアログボックスで、Quick Apply をクリックします。適用される 4 つのポリシーを確認し、OK をクリックします。
ECS インスタンスが複数のセキュリティグループに関連付けられている場合、デフォルトの許可ポリシーを有効にするには、それらすべてにポリシーを適用する必要があります。
設定が完了したら、 ページで適用ステータスを確認できます。
ステータス | 説明 |
[Applied] | デフォルトの許可ポリシーは、ECS アセットに関連付けられているすべてのセキュリティグループに適用されます。 |
[Not Applied] | デフォルトの許可ポリシーは、関連付けられているセキュリティグループの一部またはすべてに適用されていないか、設定の競合が存在します。 |
- | このアセットタイプでは、デフォルトの許可ポリシーのワンクリック適用はサポートされていません。 |
よくある質問
アクセス制御ポリシーが有効にならない、またはログが見つからない場合
NAT EIP や ECS インスタンスなどのパブリックアセットに設定されたアクセス制御ポリシーが有効にならない場合、またはトラフィックログに期待されるレコードが含まれていない場合、原因は通常、[Internet Firewall] タブのアセットの ファイアウォールのステータス が 未保護 になっているためです。この状態では、ポリシーは適用されず、トラフィックはブロックも記録もされません。
解決策
Cloud Firewall コンソールにログインします。
左側メニューで、スイッチ をクリックします。
インターネットボーダー タブで、対象のパブリックアセットの保護ステータスを確認します。
ファイアウォールのステータス が 未保護 の場合は、手動で保護を有効にします。
保護が有効になると、アセットのトラフィックは設定されたアクセス制御ポリシー (たとえば、トラフィックを許可または破棄する) によって管理され、すべてのアクションがトラフィックログに記録されます。