貴社に数百または数千もの複雑なアクセス制御ポリシーがある場合、問題のトラブルシューティングと特定はセキュリティ管理者にとって大きな課題となる可能性があります。Cloud Firewall は、アクセス制御ポリシーを迅速かつ効率的に分析するのに役立つ自動ポリシー分析機能を提供します。このトピックでは、アクセス制御ポリシー分析の実行方法について説明します。
利点
ポリシー分析は、無効なポリシー、重複したポリシー、断片化されたポリシーを迅速に検出します。これにより、スペック使用量が削減され、コストが節約され、ポリシーの安定性が向上します。
ポリシー分析は、高リスクポートや、すべて拒否ルールではないデフォルトポリシーなどのリスクを迅速に検出します。これにより、アクセス制御ポリシーを改善し、セキュリティリスクを軽減できます。
ポリシー分析は、現在のポリシーの有効性を確認するのに役立ちます。たとえば、次の項目を特定できます。
トラフィックヒットのないポリシー
送信元と宛先が同じである無効なポリシー
重複したポリシー
ビジネス競合ポリシー。
すべて拒否のホワイトリストメカニズムに従わないデフォルトポリシー
高リスクポートでのトラフィックを許可するリスクのあるポリシー
緩すぎる制御ポリシー
ポリシー分析の仕様
エディションごとの分析仕様
Cloud Firewall のアクセス制御ポリシー分析機能は無料です。エディションごとのデフォルトの分析仕様は次のとおりです。
従量課金エディション: 2,000 ポリシー。これは、インターネット境界、VPC 境界、NAT 境界、およびアドレス帳全体で分析できるポリシーの総数です。
Premium Edition: 3,000 ポリシー。これは、インターネット境界、NAT 境界、およびアドレス帳全体で分析できるポリシーの総数です。
Enterprise Edition: 5,000 ポリシー。これは、インターネット境界、VPC 境界、NAT 境界、およびアドレス帳全体で分析できるポリシーの総数です。
Ultimate Edition: 10,000 ポリシー。これは、インターネット境界、VPC 境界、NAT 境界、およびアドレス帳全体で分析できるポリシーの総数です。
計算方法
ポリシー分析に使用されるスペック数を計算する数式は次のとおりです。
使用されたスペック数 = (アクセス制御ポリシー数 + アドレス帳数) × チェック項目数。
The IP アドレス帳の重複、繰り返し、分散 チェック項目は、ECS タグベースのアドレス帳の分析をサポートしていません。
たとえば、IPv4 用の IP アドレス帳が 10 個、ECS タグベースのアドレス帳が 5 個あるとします。チェック項目は IP アドレス帳の重複、繰り返し、分散 です。この場合、ポリシー分析に使用されるスペック数は 10 × 1 = 10 です。
スペック使用量の表示
Cloud Firewall は、ポリシー分析使用量の統計情報を提供します。これにより、現在のエディションのスペック使用量を監視できます。
[ポリシー分析] ページで、チェックされたポリシーの総数、残りのクォータ、対処すべきリスクの数、およびさまざまな境界のリスクタイプの分布を表示できます。これにより、サービスのポリシーリスクを正確に特定し、必要な変更を行うことができます。
アクセス制御ポリシーの確認
Cloud Firewall は、インターネット境界、NAT 境界、VPC 境界、およびアドレス帳のアクセス制御ポリシーを確認できます。
Cloud Firewall コンソールにログインします。
左側のナビゲーションウィンドウで、 を選択します。
[ポリシー分析] ページで、必要なチェック項目を見つけ、[操作] 列の [チェック] をクリックします。
確認メッセージで、[OK] をクリックします。
チェックが完了すると、結果は [チェック項目詳細] ページに表示されます。
アクセス制御チェック結果の処理
アクセス制御ポリシーを確認した後、チェック結果に基づいて非準拠ポリシーを修正します。
完了したチェック項目を見つけ、[操作] 列の [詳細] をクリックします。
[チェック項目詳細] ページで、非準拠ポリシーの詳細を表示できます。
ビジネス要件に基づいて、ポリシーが適切かどうかを確認し、アクションを実行します。
適切な場合は、[無視] をクリックします。ポリシーは再度チェックされません。
適切でない場合は、提案に基づいてポリシーを修正します。その後、[処理] をクリックして、ポリシーを処理済みとしてマークします。
関連ドキュメント
詳細については、「インターネット境界のアクセス制御ポリシーの設定」をご参照ください。
詳細については、「NAT 境界のアクセス制御ポリシーの設定」をご参照ください。
詳細については、「VPC 境界のアクセス制御ポリシーの設定」をご参照ください。
詳細については、「アドレス帳の管理」をご参照ください。