Cloud Firewall は、クラウド内のビジネスを隔離および保護し、ビジネスセキュリティを確保し、コンプライアンス要件を満たすのに役立ちます。このトピックでは、Cloud Firewall の使用を促進し、最適な保護を実現する方法について説明します。
概要
一般的な企業のビジネスがクラウドに移行した後、企業のセキュリティドメインは、ビジネスの種類、ネットワークサイズ、ビジネス管理などのさまざまな要因により、デフォルトモードになります。その結果、ビジネスの成長に伴い、企業のビジネスネットワークアーキテクチャが混乱します。たとえば、ビジネスに必要のないポートがインターネット上で開かれ、内部通信に過剰な権限が付与されます。ビジネスが攻撃された場合、セキュリティリスクが発生する可能性があります。したがって、企業はクラウドでのセキュリティドメイン計画にもっと注意を払う必要があります。
ネットワークセキュリティドメインはホテルに似ています。異なるゲストは、互いに干渉することなく、異なる階や部屋に滞在できます。実際の IT 環境では、データベースをホストするサーバーとクライアントが利用できる Web サーバーのセキュリティレベルは異なります。テスト環境のサーバーと本番環境のサーバーのセキュリティレベルも異なります。この場合、機能や通信関係など、さまざまな側面からビジネス資産のセキュリティドメインを分類する必要があります。
Cloud Firewall に基づくセキュリティドメイン分離のソリューション
シナリオ 1：インバウンドインターネットトラフィックの保護
目的：柔軟性、自動スケーリング、およびセキュリティを確保します。
構成の推奨事項：
インターネットファイアウォールを構成して、インバウンドおよびアウトバウンドのインターネットトラフィックを管理します。
オプション。 非武装地帯用に仮想プライベートクラウド (VPC) を構成します。 VPC を Elastic IP アドレス (EIP)、Server Load Balancer (SLB) インスタンス、および Elastic Compute Service (ECS) インスタンスのパブリック IP アドレスと共に構成して、インバウンドインターネットトラフィックを保護できます。
シナリオ 2：アウトバウンドインターネットトラフィックの保護
目的：柔軟性、自動スケーリング、およびセキュリティを確保します。
構成の推奨事項：
インターネットファイアウォールと NAT ファイアウォールを構成して、アウトバウンドインターネットトラフィックとアウトバウンドプライベートネットワークトラフィックを管理します。
オプション。 非武装地帯用に異なる VPC を構成します。 VPC を EIP および NAT ゲートウェイと共に構成して、アウトバウンドインターネットトラフィックを保護できます。
シナリオ 3：東西クラウドトラフィックの保護
目的：環境の隔離を確立し、必要な接続性とセキュリティを確保します。
構成の推奨事項：
Cloud Enterprise Network (CEN) インスタンスを構成します。 Enterprise Edition 転送ルータを VPC に関連付けてクラウド内のネットワークインスタンスの相互接続を確立するか、Enterprise Edition 転送ルータを仮想ボーダールータ (VBR) に関連付けてクラウド間の相互接続とアクセスを実装することをお勧めします。
VPC ファイアウォールを構成して、レイヤー 4 からレイヤー 7 までの VPC またはクラウド間のトラフィックのアクセス制御を実装し、ラテラルムーブメント攻撃からトラフィックを保護し、トラフィックの監査とソース追跡を実行します。
内部ファイアウォールを構成して、VPC 内でマイクロセグメンテーションを実装します。
シナリオ 4：クラウド資産とデータセンター間の通信の保護
目的：クラウド資産とデータセンター間の通信を実装し、セキュリティを確保します。
構成の推奨事項：
CEN インスタンスまたは Express Connect 回線 を構成して、VBR を CEN インスタンスに接続するか、Express Connect 回線 を使用することにより、データセンターと VPC 間の通信を実装します。
VPC ファイアウォールを構成して、データセンターと VPC 間の異常トラフィックを監視し、レイヤー 4 からレイヤー 7 までのトラフィックを管理し、ラテラルムーブメント攻撃からトラフィックを保護します。ログ監査を実行することもできます。
Cloud Firewall に基づくセキュリティドメイン分離のネットワークアーキテクチャ
大規模グループ
大規模グループでは、本番ネットワークのセキュリティドメインは、グループセキュリティドメインと子会社セキュリティドメインに分類されます。グループセキュリティドメインは、インターネット向け本番ゾーン、内部向け本番ゾーン、および非武装地帯にさらに分類されます。内部本番ネットワークのセキュリティドメインは、ビジネスの種類に基づいて、一般ビジネスセキュリティドメイン、コアビジネスセキュリティドメイン、およびデータベースセキュリティドメインに分類されます。
中小企業
中小企業では、セキュリティドメインは、ビジネスの種類、機能、およびネットワーク通信関係に基づいて、一般ビジネスセキュリティドメイン、コアビジネスセキュリティドメイン、データセキュリティドメイン、および Direct Messaging Application (DMA) セキュリティドメインに分類されます。
Cloud Firewall エディションの選択 (多次元比較)
Cloud Firewall エディションを選択する前に、各 Cloud Firewall エディションの保護範囲を理解する必要があります。これは、ビジネス要件を満たすエディションを選択するのに役立ちます。詳細については、「保護範囲」をご参照ください。
Cloud Firewall は、Free Edition、Premium Edition、Enterprise Edition、Ultimate Edition、および従量課金制の Cloud Firewall で利用できます。従量課金制の Cloud Firewall では、従量課金節約プランを利用できます。各エディションは、異なる機能を提供し、異なる資産を保護し、異なる追加仕様をサポートします。
次の表を参照して、ビジネス要件に基づいて適切なエディションを選択できます。詳細については、「機能」をご参照ください。
機能