クラウド コンピューティングの時代において、リソースを不正アクセスから保護することは、ビジネスの継続性とデータの整合性を確保するための中核となります。 AWS セキュリティグループは、受信トラフィックと送信トラフィックをきめ細かく制御する仮想ファイアウォールとして機能します。セキュリティ グループを理解し、正しく構成することで、潜在的なセキュリティの脅威を効果的に防ぐだけでなく、リソースの可用性とパフォーマンスを最適化することもできます。
セキュリティグループについて
セキュリティ グループとは何ですか?
セキュリティグループは、AWS リソースとの間のトラフィックを制御する一連のルールです。各セキュリティ グループはインスタンス レベルで動作し、次のことが可能になります。
- インスタンスに許可されるトラフィックを指定するには、受信ルールを定義します。
- インスタンスから出るトラフィックを制御するための出力ルールを定義します。
- ステートフル ルール処理を適用すると、許可された要求への応答が自動的に許可されます。
主な特徴
- インスタンスレベルのセキュリティ:セキュリティ グループは個々のインスタンスに添付され、きめ細かな制御を実現します。
- 状態の動作:受信ルールの変更は、送信応答に自動的に反映されます。
- 複数の添付ファイル:複数のセキュリティ グループを 1 つのインスタンスに関連付けることができます。
一般的な使用例
- ウェブサーバー:HTTP (80) および HTTPS (443) トラフィックを許可します。
- データベースサーバー:MySQL (3306) または PostgreSQL (5432) へのアクセスを特定の IP またはセキュリティ グループに制限します。
- アプリケーション サーバー:特定のレイヤーからのトラフィックのみを許可します。
セキュリティグループのベストプラクティス
1. 最小権限の原則
アプリケーションに絶対に必要なトラフィックのみを許可します。これにより、露出が最小限に抑えられ、攻撃対象領域が縮小されます。
2. 特定のIPアドレスを使用する
次のようなオープンレンジの使用は避けてください0.0.0.0/0。代わりに、特定の IP アドレスまたは範囲をホワイトリストに登録します。
3. 命名規則を使用して整理する
セキュリティ グループに意味のある名前を作成します。例:
WebApp-SGWeb アプリケーションで使用します。データベースSGデータベース インスタンスの場合。
4. 開いているポートを制限する
必要なポートのみへのアクセスを制限します。例えば：
- 特定の管理者 IP に対してのみポート 22 (SSH) を開きます。
- Web サーバーへの HTTP/HTTPS トラフィックを許可します。
5. 定期的なレビューと更新
変化するセキュリティ要件に準拠していることを確認するために、セキュリティ グループを定期的に確認してください。
6. 整理のためにタグを使用する
意味のあるメタデータでセキュリティ グループにタグを付け、リソース管理を簡素化します。
高度なユースケース
多層アーキテクチャ
一般的な 3 層 Web アプリケーションでは次のようになります。
- Web層:ポート 80 (HTTP) と 443 (HTTPS) を開きます。
- アプリケーション層:Web 層セキュリティ グループからのトラフィックのみを許可します。
- データベース層:アプリケーション層のセキュリティ グループへのアクセスを制限します。
IP制限
管理アクセスの場合、SSH (ポート 22) を企業の IP または VPN に制限します。
- 受信ルール: タイプ: SSH、ポート: 22、ソース:
。
セキュリティグループとネットワークACL
| 特徴 | セキュリティグループ | ネットワークACL |
| 範囲 | インスタンスレベル | サブネットレベル |
| ステートフル | ステートフル | ステートレス |
| ユースケース | 特定の | 広範なネットワークレベルのルール |
監視と監査
- AWS Config ルールを有効にします。AWS Config を使用してセキュリティグループのコンプライアンスを監視します。
- VPC フローログを分析します。トラフィック パターンを調べて異常を検出します。
- ファイアウォール マネージャーとの統合:アカウント全体のルールを一元管理します。
結論は
AWS では、セキュリティグループはリソースのセキュリティを保護するための第一防衛線です。ルールを適切に構成し、ポリシーを定期的に確認することで、システムが攻撃されるリスクを大幅に軽減できます。常に最小権限の原則に従い、それを他の AWS セキュリティツールやベストプラクティスと組み合わせて、クラウド環境に包括的なセキュリティを提供します。
