Alibaba Cloud の Cloud Firewall は、SaaS (Software as a Service) 型のファイアウォールであり、インターネット、VPC、NAT の境界を越えて、クラウド資産に対する統一されたセキュリティの分離と制御を提供します。クラウドビジネスにおけるネットワーク防御の最前線となるサービスです。
ユースケース
Cloud Firewall は、以下の代表的なシナリオに適しています。
クラウドデータセンター向けのエンタープライズレベルのセキュリティ
クラウドへの移行や大規模なデータセンターの構築を行う企業に最適です。Cloud Firewall は、インターネット、NAT、VPC、ホストの各境界で統一されたトラフィック制御と脅威保護を提供します。これにより、公開されている攻撃対象領域を縮小し、ラテラルムーブメント攻撃をブロックし、データ漏えいを防ぎます。
ハイブリッドクラウドとクラウドベースの DMZ に対する高度な保護
オンプレミスのデータセンターとクラウドの両方にサービスがデプロイされているシナリオや、DMZ がクラウドに移行されたシナリオに適しています。Cloud Firewall は、DMZ のノースサウストラフィックと、データセンターと VPC 間のイーストウエストトラフィックを保護し、ハイブリッドクラウド環境における安全な通信を保証します。
複数アカウントにまたがる統一されたセキュリティ管理
複数の Alibaba Cloud アカウントにリソースが分散している企業に最適です。Cloud Firewall はリソースディレクトリと統合し、資産管理、ポリシー設定、トラフィック分析、ログ監査を単一のコンソールに集約することで、セキュリティ運用のコストを削減します。
重要イベントや対抗演習におけるセキュリティ対策
大規模イベントやセキュリティドリルなどの重要度の高いシナリオに適しています。Cloud Firewall は、IP アドレスやドメインの一括ブロック、攻撃の追跡、ゼロデイ脆弱性に対する仮想パッチなどの機能に対応し、特別なセキュリティ要件に応えます。
Cloud Firewall を選ぶ理由
従来のハードウェアファイアウォールと比較して、Cloud Firewall には以下の主な利点があります。
即時有効化、すぐに利用可能
ネットワークアーキテクチャを変更することなく、ワンクリックでインターネットファイアウォールを有効にでき、デプロイや設定にかかるコストを大幅に削減します。
統一された境界制御、統合的な保護
Cloud Firewall は、インターネット、NAT、VPC、ホストの各境界で統一されたトラフィック制御を提供し、ノースサウストラフィックとイーストウエストトラフィックの両方に対して、アクセス制御、脅威検知、ログ監査の統合管理が可能です。
インテリジェントな防御、プロアクティブな脅威の遮断
組み込みの侵入防止システム (IPS) エンジンと広範な脅威インテリジェンスを活用し、脆弱性の悪用、ブルートフォース攻撃、クリプトマイニングプログラム、バックドアなどの悪意のあるトラフィックをリアルタイムで検知・ブロックします。また、仮想パッチに対応し、公式パッチがリリースされる前に脆弱なホストを保護します。
柔軟かつ安定、オンデマンドでのスケーリング
Cloud Firewall のトラフィック処理能力は、ビジネスニーズに応じてスムーズに拡張でき、プロモーション、テスト、セキュリティドリルなどのピークトラフィックシナリオに最適です。オフピーク時には、サービスに影響を与えることなくシームレスにスケールダウンし、効果的にコストを削減します。組み込みの高可用性メカニズムは、異なるファイアウォールクラスターでのデュアル AZ 障害復旧に対応し、事業継続性を保証します。
主な機能
ファイアウォール保護の有効化
Cloud Firewall は、インターネット境界、NAT 境界、VPC 境界に対して統一されたトラフィック制御を提供します。有効化すると、クラウド資産のノースサウストラフィックとイーストウエストトラフィックに対して、アクセス制御と脅威検知が適用されます。
インターネットファイアウォール：パブリックインターネットからのインバウンドトラフィックを保護します。IP アドレス、ポート、プロトコル、ドメイン名に基づくポリシーに対応し、Elastic Compute Service (ECS) や Server Load Balancer (SLB) インスタンスなどの公開資産を標的としたスキャンや攻撃をブロックします。
NAT ファイアウォール：NAT Gateway を介してインターネットにアクセスするプライベート資産からのトラフィックを管理します。内部ホストが C2 サーバーに接続したり、データが漏えいしたりするのを防ぎ、IPS によるディープインスペクションに対応します。
VPC ファイアウォール：VPC 間および VPC 内のサブネット間のトラフィックを管理します。ラテラルムーブメント攻撃を防ぎ、DNS ドメイン名に基づくアクセス制御をサポートして、ネットワークマイクロセグメンテーションを実現します。
トラフィック分析
この機能はトラフィックを可視化し、異常な動作や潜在的なリスクを特定するのに役立ちます。
アウトバウンド接続：内部ホストからパブリックインターネットへの接続を監視します。クリプトマイニング、リモートコントロール、データ漏えいなどの挙動を特定し、宛先 IP、ポート、プロトコル、時刻による追跡に対応します。
公開状況：公開されている資産やサービスを自動的に検出し、公開リスクを評価し、攻撃対象領域の縮小を支援します。
VPC 間トラフィック：VPC 間および VPC 内のトラフィックトポロジーとアクセス関係を表示し、ネットワークアーキテクチャとセキュリティポリシーの最適化を支援します。
保護設定
このセクションでは、アクセス制御と侵入防止ポリシーを設定できます。
IPS 保護：脅威インテリジェンスと攻撃検知エンジンを使用して、脆弱性の悪用、Web シェルのアップロード、SQL インジェクションなどの攻撃を遮断します。また、公式パッチがリリースされる前に保護するための仮想パッチにも対応しています。
アクセス制御ポリシー：5 タプル (送信元/宛先 IP、ポート、プロトコル)、ドメイン名、アプリケーションタイプ、地理的位置に基づくポリシーに対応します。ポリシーテンプレートと一括操作にも対応しています。
検知とレスポンス
この機能は、セキュリティイベントのアラート、ログ監査、分析機能を提供します。
セキュリティイベント：IPS 保護エンジンは、検知結果を以下の 3 種類のアラートに集約します。
侵入防止：外部からの攻撃試行や悪意のあるトラフィックを記録し、遮断します。
脆弱性保護：既知の脆弱性に対する悪用試行を監視します。
侵害されたホストの検出：侵害された内部ホストからの異常なアウトバウンド接続やラテラルムーブメントを特定します。
ログ監査：基本的なコンプライアンスとフォレンジックのニーズを満たすために、7 日間の無料ログストレージを提供します。
ログ分析：ログの保存期間の延長 (等級保護コンプライアンスで要求される 180 日間の保存期間など) に対応し、多次元の検索および統計分析機能を提供します。
エディションと課金
Cloud Firewall には、従量課金、Premium Edition、Enterprise Edition、Ultimate Edition の 4 つのエディションがあります。ビジネスニーズに最も適したエディションを選択してください。
この表は、エディション間の主な違いをまとめたものです。完全な機能比較については、「エディションの比較と選択」をご参照ください。
料金の詳細については、「サブスクリプション (課金 2.0)」(Premium、Enterprise、Ultimate Edition の場合) および「従量課金 (課金 2.0)」(従量課金版の場合) をご参照ください。
エディション | 従量課金 | Premium Edition | Enterprise Edition | Ultimate Edition |
課金モデル | 従量課金 | サブスクリプション | ||
機能サポート | 基本保護 | 基本保護 | 全機能保護 | 全機能保護 |
推奨シナリオ |
|
|
| |
利用開始
Cloud Firewall を有効にした後、以下の手順で設定します。
資産の保護を有効にする
公開資産に対してインターネットファイアウォールを有効にします (必須)。詳細については、「インターネットファイアウォール」をご参照ください。ビジネスニーズに応じて、パブリック NAT Gateway と VPC 資産の保護を有効にします。詳細については、「NAT ファイアウォール」および「VPC ファイアウォール」をご参照ください。
IPS 設定を確認する
IPS 脅威エンジンは、一般的な保護のためにデフォルトで有効になっています。ビジネスニーズに応じて、後で設定を調整できます。詳細については、「IPS 設定」をご参照ください。
アクセス制御ポリシーを設定する
デフォルトのアクセス制御ポリシーは許可型であり、悪意のあるトラフィックをブロックしません。正当なトラフィックをブロックしないように、ビジネスニーズに基づいてポリシーを設定する必要があります。詳細については、「アクセス制御ポリシー」をご参照ください。どのポリシーを設定すればよいかわからない場合は、「アクセス制御ポリシーの設定」をご参照ください。
トラフィックの分析とログの監査
Cloud Firewall が一定期間稼働した後、トラフィック分析とログ監査ページに移動して、トラフィックパターンとセキュリティイベントを確認します。分析に基づいて IPS 設定とアクセス制御ポリシーを調整します。ログを長期間保持するには、ログ分析機能を有効にして設定します。この機能は、完全なログのクエリと監査に対応します。
高度な機能の設定
Cloud Firewall は、基本的な機能に加えて、セキュリティオペレーションエージェント、TLS インスペクション、アプリケーション制御、Web フィルタリングなどの高度な機能 (一部はパブリックベータまたは招待制ベータ) を提供し、よりきめ細かなセキュリティおよび運用ニーズに対応します。
よくある質問
WAF、Cloud Firewall、Anti-DDoS の違い
Web Application Firewall (WAF)：HTTP/HTTPS アプリケーション層に特化したセキュリティ製品です。WAF は Web リクエストのディープインスペクションを実行し、アプリケーション層の攻撃から防御します。
Cloud Firewall (CFW)：クラウド環境向けの統一されたネットワーク境界アクセス制御製品です。CFW はトラフィックを管理し、インターネット、VPC、NAT の境界で侵入防御を提供して、ネットワーク層の侵入とラテラルムーブメントを防ぎます。
Anti-DDoS：トラフィックをグローバルに分散されたスクラビングセンターにリダイレクトすることで、大規模な分散型サービス妨害 (DDoS) 攻撃から保護します。Anti-DDoS は悪意のあるトラフィックをフィルタリングして、攻撃中のサービスの安定性と可用性を維持します。
クラウド製品 | Web Application Firewall (WAF) | Cloud Firewall (CFW) | Anti-DDoS |
保護レベル | アプリケーション層 (L7) | 主にネットワーク層とトランスポート層 (L3-L4) の保護を提供し、レイヤー 4-7 の侵入検知用の統合 IPS を含みます。 | 主にネットワーク層とトランスポート層 (L3-L4) の保護を提供し、アプリケーション層 (L7) での大規模な CC 攻撃や HTTP フラッド攻撃から防御します。 |
主要なメカニズム | セマンティック分析、ルールマッチング、行動モデリング | アクセス制御ポリシー、ステートフルインスペクション、侵入防御システム (IPS) | トラフィックスクラビング、シグネチャベースのフィルタリング、帯域幅スケーリング |
防御可能な攻撃 | SQL インジェクション、XSS、Web シェルのアップロード、HTTP フラッド攻撃、悪意のあるボット、API の不正使用 | ポートスキャン、ブルートフォース攻撃、不正アクセス、クリプトマイニングワーム、東西トラフィックの脅威 | SYN フラッドや UDP フラッドなどの L3/L4 のボリューム攻撃、および高頻度の HTTP フラッドなどの L7 アプリケーション層攻撃 |
ユースケース | Web サイトやアプリを改ざん、悪意のあるアクセス、ボットによるスクレイピング、API の不正使用から防御します。 | パブリックネットワークの出入り口でクラウドアセットに対する統一されたアクセスポリシーを適用します。サーバーへのブルートフォース攻撃や内部ネットワーク内でのラテラルムーブメントを防ぎます。 | 大規模攻撃中にパケットロスなしでサービスの継続性とネットワークの可用性を確保します。 |
多層防御戦略として、Anti-DDoS Pro と Anti-DDoS Premium、Cloud Firewall、WAF を組み合わせたアーキテクチャを推奨します。
製品の統合とトラフィックパス
はい。Cloud Firewall は他のクラウド製品と組み合わせてデプロイできます。トラフィックパスは次の図のようになります。
インスタンス数の計算
デフォルトでは、新規ユーザーは課金 2.0 を使用します。このモデルでは、Cloud Firewall のサブスクリプションは汎用インスタンス仕様を提供し、これを使用してさまざまな境界ファイアウォールを作成できます。たとえば、Premium Edition のサブスクリプションは 1 つの汎用インスタンス仕様を提供します。
消費される Cloud Firewall インスタンスの数は、次のように計算されます。
インターネットファイアウォール：保護対象のリージョンごとに 1 つのインスタンスが必要です。同一リージョン内では、保護対象のパブリック IP アドレスの数や、IP アドレスが IPv4 か IPv6 かに関わらず、消費されるインスタンス仕様は 1 つだけです。
NAT ファイアウォール：NAT Gateway インスタンスごとに 1 つのインスタンスが必要です。
VPC ファイアウォール：
Cloud Enterprise Network (CEN) Enterprise Edition アーキテクチャでは、トランジットルーター (TR) ごとに 1 つのインスタンスが必要です。
CEN Basic Edition アーキテクチャでは、VPC ごとに 1 つのインスタンスが必要です。
VPC ピアリング接続アーキテクチャでは、VPC のペアごとに 1 つのインスタンスが必要です。
マルチアカウント管理：この機能を有効にすると、各メンバーアカウントの資産は Cloud Firewall のインスタンス仕様を消費し、別途インスタンス料金が発生します。
コンプライアンス認証
Cloud Firewall は、ISO 9001、ISO 20000、ISO 22301、ISO 27001、ISO 27017、ISO 27018、ISO 29151、ISO 27701、BS 10012、CSA STAR、および PCI DSS の認証を取得しています。
製品の由来
Alibaba Cloud は Cloud Firewall を完全に自社開発しました。サードパーティベンダーの OEM 製品ではありません。