AWS主要セキュリティサービス14選をレイヤー&ジャンルごとに徹底解説
AWSのセキュリティサービスは、クラウドセキュリティの構築と維持において重要な役割を果たします。本記事では、AWS内で提供される主要なセキュリティサービス13選を、ファイヤーウォール、暗号化、診断分析、権限管理、コンプライアンスレポートの5つのカテゴリーに分けて徹底的に解説します。
レイヤーごとのファイヤーウォール
①インスタンス
対象ファイヤーウォール：セキュリティグループ（ステートフル）
セキュリティグループは、特定のインスタンスに適用される仮想ファイヤーウォールです。これはステートフルであり、許可されたトラフィックの流れを記憶しています。インスタンスごとに、特定のポートやプロトコルに対するアクセス制御を設定できます。
②サブネット
対象ファイヤーウォール：ネットワークACL(ステートレス)
サブネット内のトラフィックを制御するために、ネットワークACLが用いられます。これはステートレスであり、セッションの状態を追跡・保存しません。入出力のトラフィックルールを別々に設定できます。
デフォルトでは全ての通信が許可され、カスタム設定を行うと指定したリスト以外は全て拒否されます。
サブネットの種類
- パブリックサブネット: インターネットゲートウェイをルートテーブルに持つサブネットで、外部からの直接アクセスが可能です。
- プライベートサブネット: 外部に直接アクセスできず、NATゲートウェイを経由して外部と通信します。
③AZ（アベイラビリティーゾーン）
AZとリージョン(ルートテーブルやELBによりサブネットへ)
AWSのリージョンは、複数のAZで構成されています。各AZは物理的に分離されたデータセンター群であり、高い可用性と耐障害性を実現しています。
ルートテーブルやロードバランサーによりサブネットに繋げられます。
④VPC（Virtual Private Cloud）
対象ファイヤーウォール：AWS WAF AWS Shield
AWS WAFは、ロードバランサーやゲートウェイと関連付けることができます。これにより、インバウンドトラフィックをフィルタリングし、ウェブアプリケーションやAPIへの不正なリクエストを遮断できます。ユーザーは特定の条件に基づいてアクセスをコントロールし、ウェブアプリケーションのセキュリティを強化することが可能です。機械学習で常時不正なアクセスリストを更新し続けています。
ゲートウェイとDNSサービスでインターネットへの接続
VPC内で設定されたゲートウェイ（インターネットゲートウェイやNATゲートウェイなど）を通じて、インスタンスはインターネットに接続します。IPアドレスの割り当てやルートテーブルの設定により、外部との通信ルートが定義されます。ドメインとIPアドレスのルーティングにはRoute53のDNSサービスが利用されます。
ダイレクトコネクト
インターネット経由の接続と比較して、より高速で安定した帯域幅と、一貫したネットワーク体験を提供します。これにより、データ転送の遅延が低減され、セキュリティが向上します。企業は、オンプレミスのデータセンターからAWSへの接続を効率的かつ安全に行うことができ、ビジネスクリティカルなアプリケーションのパフォーマンスを最適化できます。Direct Connectは、大容量のデータ転送やレガシーシステムとの統合に特に適しています。
暗号化セキュリティサービス
AWS Key Management Service (AWS KMS)
AWSでのデータ暗号化キーの作成、管理を簡単にするマネージドサービスです。このサービスは、セキュリティを強化するために必要な暗号キーのライフサイクル管理を提供し、AWS内外のアプリケーションで使用できる暗号キーを安全に生成し、管理します。また、AWSの他のサービスと統合されており、S3やEBSなどのサービスでのデータ暗号化に直接使用できます。KMSは、アクセスポリシーを通じてキーの使用を制御し、セキュリティ監査のためのキー使用ログを提供します。
AWS Certificate Manager (ACM)
AWSでのSSL/TLS証明書の管理を簡素化するサービスです。ACMを使用することで、ユーザーは簡単にSSL/TLS証明書を取得、管理、導入することができます。このサービスは、証明書の発行と更新プロセスを自動化し、AWSリソース（例えば、Elastic Load Balancing、Amazon CloudFront、Amazon API Gateway）への証明書の統合を容易にします。ACMはセキュリティを強化し、HTTPSを利用した安全な通信を保証します。また、証明書の有効期限の管理や更新を自動化することで、手動プロセスに伴う時間と労力を削減し、セキュリティリスクを減少させることができます。ACMは、セキュアなウェブベースのアプリケーションやサービスの提供に不可欠なツールです。
診断分析セキュリティサービス
Amazon GuardDuty
AWS環境のセキュリティ監視と脅威検出を行うフルマネージドなサービスです。このサービスは、ネットワークトラフィック、CloudTrailイベントログ、DNSログなどのデータを継続的に分析し、異常行動や潜在的なセキュリティ脅威を識別します。
AWS CloudTrail
AWSアカウント内で行われるアクションの記録(ログ)を提供するサービスです。このサービスは、AWSマネジメントコンソール、AWS SDK、コマンドラインツール、その他のAWSサービスからのAPI呼び出しを追跡し、ログファイルに記録します。CloudTrailは、セキュリティ監査、リソース変更の追跡、トラブルシューティングなどの目的で使用されます。
主要な特徴には、ユーザーとアプリケーションのアクティビティの詳細な履歴を提供すること、特定のアカウントやサービスに関連するAPI呼び出しを識別することが含まれます。また、CloudTrailはセキュリティ分析、リソース変更の監視、コンプライアンス監査において重要な役割を果たします。
CloudTrailのログは、AWS S3バケットに保存され、必要に応じて分析や長期保管のためにアクセスできます。
Amazon Inspector
AWS環境におけるセキュリティの脆弱性を自動的に評価するサービスです。このサービスは、AWSのEC2インスタンスやアプリケーションに対してセキュリティ評価を行い、脆弱性やセキュリティ上の問題点を特定します。Inspectorは、ベストプラクティスや一般的なセキュリティ基準に基づいて分析を行い、詳細なレポートを提供します。
AWS Trusted Advisor
AWSアカウントの最適化とセキュリティ改善を支援するサービスです。このツールは、コスト削減、パフォーマンス向上、セキュリティ強化、サービス制限の遵守に関するベストプラクティスを分析し、具体的な推奨事項を提供します。
AWS Well-Architected
クラウドインフラストラクチャの効果的な設計を指導するガイドラインで、6つの主要な柱に基づいています。これらの柱は運用上の優秀性、セキュリティ、信頼性、パフォーマンス効率、コスト最適化、そして持続可能性です。各柱は、システムの運用効率、セキュリティ保護、障害耐性、パフォーマンス最適化、コスト効率、環境への影響最小化といった側面をカバーし、クラウド利用の全体的な最適化を目指します。
権限管理サービス
AWS Identity and Access Management (IAM)
IAMを使用すると、個々のユーザーに対して独自の認証情報を割り当て、特定のAWSリソースへのアクセスを細かく制御できます。このサービスにより、企業はユーザー、グループ、ロール(一時的&リソース付与可能)を作成し、それらに対してアクセスポリシーを適用することが可能です。IAMは、ユーザーのアクセス権限を最小限に保ちながら、必要なリソースへのアクセスを提供する「最小権限」の原則をサポートします。また、マルチファクタ認証などのセキュリティ機能を備え、AWS環境のセキュリティ管理を強化します。
AWS Organizations
複数のAmazon Web Services (AWS) アカウントを一元的に管理するためのサービスです。これにより、組織はアカウントをグループ化し、ポリシーベース(SCU)でリソースの使用を制御できます。AWS Organizationsを使用することで、アカウントの作成、アクセス許可の設定、課金情報の集約などが簡単に行えます。また、セキュリティポリシーの一貫した適用やコンプライアンス要件の管理が容易になります。
コンプライアンスレポートサービス
AWS Artifact
コンプライアンス関連の文書を提供するサービスです。このサービスを通じて、AWSのセキュリティとコンプライアンスに関する報告書、アクレディテーション、契約書などをオンラインで簡単にアクセスし、ダウンロードすることができます。AWS Artifactは、監査やコンプライアンスの確認に必要な文書を迅速に提供し、企業が規制要件を遵守する上で役立ちます。
まとめ
AWSのセキュリティサービスは、クラウド環境の保護において不可欠です。本記事では、AWSの主要なセキュリティサービス13選を、レイヤーごとのファイヤーウォール、暗号化セキュリティ、診断分析サービス、権限管理、コンプライアンスレポートの5つのカテゴリーで詳細に解説しています。インスタンスレベルのセキュリティグループからサブネットのネットワークACL、VPC内のAWS WAFとAWS Shieldに至るまで、レイヤーごとの保護策が説明されています。また、AWS KMSやACMなどの暗号化ツール、Amazon GuardDutyやAWS CloudTrailなどの診断ツール、IAMやAWS Organizationsなどのアクセス管理ツール、AWS Artifactなどのコンプライアンス関連ツールが紹介されています。これらのサービスは、AWS環境を安全に保つための多角的なアプローチを提供し、セキュリティの強化に役立ちます。