Cloud Firewall:NAT セッションログを使用した IPS プライベート IP トレース

背景情報

VPC 環境でパブリック NAT Gateway を使用すると、クラウドサービスのプライベート IP アドレスが変換・秘匿され、安全なインターネットゲートウェイが構築されます。これによりセキュリティは向上しますが、同時にインシデントレスポンスにおける課題も生じます。インターネット経由の攻撃や悪意のあるアウトバウンド接続が発生した場合、セキュリティアラートは通常、NAT Gateway の Elastic IP アドレス (EIP) のみを特定します。このため、侵害されたリソース (ECS インスタンスなど) を特定することが難しく、攻撃の追跡と修復が遅れてしまいます。

仕組み

この問題を解決するため、Cloud Firewall は NAT セッションログと連携するプライベート IP トレース機能を導入しました。この機能は、NAT Gateway のセッションログと攻撃イベントを自動的に関連付けることで、影響を受けたインスタンスのプライベート IP アドレスを直接明らかにします。これにより、侵害された資産を迅速かつ正確に特定し、効果的な対策を講じることができます。

• Cloud Firewall の IPS 機能：Cloud Firewall の侵入防止システム (IPS) エンジンは、インバウンドおよびアウトバウンドの攻撃トラフィックを検出し、防御します。IPS エンジンは、Cloud Firewall を通過するすべてのネットワークトラフィックを転送前にフィルタリングします。エンジンはディープパケットインスペクションを使用してプロトコルを識別し、パケットを解析した後、IPS エンジンと脅威インテリジェンスに基づいてストリームおよびパケットフィルタリングを適用します。トラフィックが脅威シグネチャと対応する IPS ルールのアクションに一致した場合、悪意のあるパケットは破棄または許可され、リアルタイムのアラートと遮断が可能になります。また、Cloud Firewall は詳細な IPS 攻撃ログも記録します。

• NAT セッションログ：NAT Gateway はセッションログ機能を提供します。NAT Gateway の SNAT エントリを作成すると、そこを通過するトラフィックは追跡とモニタリングのために SNAT セッションレコードを生成します。これらのセッションログは Simple Log Service (SLS) に書き込まれます。各ログエントリは、キャプチャウィンドウ内の特定の 5 タプルネットワークフローを記録します。インバウンドの DNAT トラフィックについては、ポートマッピングを使用して特定のプライベート IP アドレスを特定できます。

アウトバウンドトラフィックの攻撃トレース：

インバウンドトラフィックの攻撃トレース：

利用シーン

ある中規模のニューリテール企業が運営するオンラインモールを例に考えてみましょう。サービスの安定性とセキュリティを確保するため、同社は DMZ VPC に NAT Gateway をデプロイし、すべてのインターネットトラフィックの単一の出入り口として、公開リスクを低減しています。また、同社は Cloud Firewall を使用し、インターネットファイアウォール機能を有効にして、NAT Gateway の Elastic IP アドレス (EIP) へのトラフィックをフィルタリングし、保護しています。ある夜、セキュリティ運用チームは不審なトラフィックに関するアラートを受け取りました。攻撃者が脆弱性を悪用してトロイの木馬を仕掛け、侵害されたマシンを使って海外の IP アドレスに悪意のあるアウトバウンドリクエストを送信し、bash スクリプトをダウンロードして CoinMiner ファミリーのトロイの木馬をインストールしているようです。チームは、侵害されたバックエンドサーバーを迅速に特定する必要があります。

ここで重要になるのが、Cloud Firewall のプライベート IP トレース機能です。同社がこの機能を有効にすると、システムは NAT Gateway のセッションログと Cloud Firewall の IPS 攻撃ログを自動的に関連付けて分析します。各 NAT セッションログの特定の 5 タプルネットワークフローと、Cloud Firewall が記録した対応する IPS イベントログを照合し、数分以内にリスクのあるプライベート IP アドレスを特定します。これにより、セキュリティ担当者は侵害されたサーバーを迅速に特定し、アクセス制御ポリシーを適用してそのアウトバウンドアクセスをブロックし、トロイの木馬を駆除することで、脅威を効果的に封じ込め、さらなる被害を防ぐことができます。

注意事項

• この機能は、従量課金とサブスクリプションの両方の Cloud Firewall インスタンスでサポートされています。容量単位 (CU) に基づいて課金されるパブリック NAT Gateway インスタンスでサポートされています。仕様に基づいて課金される NAT Gateway インスタンスは、セッションログ機能をサポートしていません。

• プライベート IP トレースを有効にしても、Cloud Firewall 自体から追加料金は発生しません。ただし、システムはご利用の NAT Gateway セッションログにインデックスを作成してクエリを実行するため、Simple Log Service (SLS) でコストが発生します。SLS の課金の詳細については、「SLS の料金」をご参照ください。

• プライベート IP トレースを有効にした後、システムがNAT セッションログのインデックスが無効になっている、またはトレースに必要なフィールドが欠落していることを検出した場合、必要なインデックスとフィールドを自動的に作成または追加します。

操作手順

1. Cloud Firewall コンソールにログインします。左側のナビゲーションウィンドウで、緩和設定 > IPS の設定 を選択します。

2. インターネット境界 > [プライベートネットワークのトレーシング] タブに、トレーシングをサポートするパブリックアセットのリストが表示されます。 Cloud Firewall がプライベート IP アドレスのトレーシングを実行する前に、対象の NAT Gateway では、インターネットファイアウォール保護と NAT セッションログ機能の両方が有効になっている必要があります。 操作 列のスイッチをクリックすると、これらの機能がまだアクティブでない場合、有効化を案内するプロンプトが表示されます。 または、詳細な構成手順については、以下のドキュメントをご参照ください:

• インターネットファイアウォール保護を有効にする：ファイアウォールスイッチを有効にする

• NAT セッションログを有効にする：NAT セッションログの設定手順

詳細な手順については、「IPS プライベート IP トレース」をご参照ください。

トレースデータの表示

IPS プライベートネットワークのトレーサビリティステータス を有効にすると、以下の場所でトレースデータを表示できます。

参考資料

• その他の Cloud Firewall IPS 攻撃防御設定

• NAT Gateway と NAT ファイアウォールを使用してプライベートネットワークからのアウトバウンドトラフィックを保護するためのベストプラクティス