エッジの防御設計 AWS WAF・Shield・Firewall Managerを層で組み合わせる

SCS-C02では、インターネットに公開するアプリケーションをどう守るかが問われます。この記事では、WAF・Shield・Firewall Managerの役割を、「層・規則・集中管理」の3つの観点で整理します。

覚え方は「層・規則・集中管理」の3つの観点

層は攻撃の種類です。ネットワーク層やトランスポート層のDDoSはShield、アプリケーション層のWeb攻撃はWAFが担当します。規則はWAFのWeb ACLのルール、集中管理は複数アカウントへのポリシー適用です。要件文の「SQLインジェクション」「大規模DDoS」「組織全体に適用」がそれぞれのサインです。

AWS Shield：DDoSの防御

Shield Standardは追加料金なしで自動的に有効で、一般的なネットワーク層の攻撃から保護します。Shield Advancedは有料で、高度な検知、攻撃中の専門チームによる支援、DDoSによるコスト増の返金（コスト保護）が加わります。大規模DDoSで売上への影響が大きいサービスや、攻撃時の専門家の支援が必要な要件ではAdvancedを選びます。

AWS WAF：アプリケーション層の防御

WAFはCloudFront・ALB・API Gateway・AppSync・Cognitoユーザープールにアタッチできます。AWSマネージドルールグループで一般的な攻撃（SQLインジェクション、クロスサイトスクリプティングなど）を防ぎ、レートベースルールで特定IPからの過剰なリクエストを制限します。CloudFront用のWeb ACLは米国東部（バージニア北部）で作成する点は試験の定番です。

Firewall Manager：組織への集中管理

Organizations配下の全アカウントに、WAFルール、Shield Advanced、セキュリティグループ、Network Firewall、Route 53 Resolver DNS Firewallのポリシーを一括で適用し、新しいリソースも自動で対象にします。「アカウントが増えても同じ防御を強制したい」ときの答えです。

チェックリスト

• Shield StandardとAdvancedの違いを言える
• WAFをアタッチできるリソースを列挙できる
• CloudFront用Web ACLの作成リージョンを答えられる
• Firewall Managerが管理できるポリシーの種類を説明できる

まとめ

エッジ防御は「層・規則・集中管理」で整理し、DDoSはShield、Web攻撃はWAF、組織展開はFirewall Managerと覚えましょう。 理解度の確認にはクイズが便利です。試験範囲や申し込みの最新情報はAWS認定 公式ページもあわせて確認してください。