ご挨拶

皆様、セキュリティ対策してますか？
今回は、個人で公開しているOSSリポジトリ2つを2026年4月時点の最新に更新しましたので、その内容をまとめます。

更新対象リポジトリ

リポジトリ	概要
aws-wafv2-fail2ban	AWS WAFv2でfail2banライクなIP制御を行うOSS
AWS-Client-VPN-Template	AWS Client VPNをTerraformで構築するテンプレート

OWASP Top 10:2026 および2026年現在の攻撃動向に合わせて、WAFルールの大幅な強化とTerraform / CloudFormationの最新化を行いました。

2026年現在の攻撃動向に合わせて、以下のルールを新規追加しています。

ルール	対象
ModernAttackPatternRule	SSRF、NoSQLi、GraphQLi、Log4Shell、エンコーディング回避
SuspiciousUserAgentRule強化	AI駆動スキャナ（GPT-crawler、LLM-agent、Crawl4AI等）
OversizedHeaderRule	HTTP Flood / Slowloris（8KB超ヘッダー検知）

AI駆動のスキャナやクローラーが増加している昨今、User-Agentベースの検知ルールも強化しています。

以下の破壊的変更がありますので、既存環境で利用されている方はご注意ください。

Terraformコードのモダン化とSASTセキュリティ強化を実施しました。

破壊的変更	本プロジェクトへの影響
`aws_eip` の `vpc` パラメータ廃止	影響なし（既に `domain = "vpc"` 使用済み）
Boolean strictness（文字列 "1"/"0" 不可）	影響なし（文字列boolean未使用）
OpsWorks/SimpleDB/WorkLink リソース削除	影響なし（未使用）
Redshift デフォルト値変更	影響なし（未使用）

既存環境への適用前に必ず terraform plan で差分を確認してください。また、terraform init -upgrade 実行時に .terraform.lock.hcl が更新されます。

今回の大きなポイントはセキュリティ強化です。

KMS CMK暗号化: CloudWatch Logs / CloudTrail / S3（キーローテーション有効）
- enable_kms_encryption 変数で有効/無効を切替可能（デフォルト: true）
- 無効時: S3はAES256、CloudWatch Logs/CloudTrailはデフォルト暗号化
S3バケット: SSL/TLS強制（DenyInsecureTransport）、ライフサイクルルール追加
セキュリティグループ: インラインルール → aws_vpc_security_group_*_rule に分離
UDP 443 ingressルール追加（Client VPNはTCP/UDP両対応）
VPNエンドポイント: セッションタイムアウト + ログインバナー追加
証明書ARN outputを sensitive に設定
VPC Flow Logs追加（IAMロール付き、変数で有効/無効切替可能）

nat_gateway_mode 変数を追加し、用途に応じたNAT Gatewayの配置が選択できるようになりました。

multi_az 時はAZごとにルートテーブルを分離します。コストと可用性のバランスに応じて選択してください。

変数名	型	デフォルト	説明
`nat_gateway_mode`	string	`single_az`	NAT GWの配置モード
`enable_kms_encryption`	bool	`true`	KMS CMK暗号化の有効/無効
`enable_vpc_flow_logs`	bool	`true`	VPC Flow Logsの有効/無効
`log_retention_days`	number	`90`	CloudWatch Logs保持期間
`vpn_session_timeout_hours`	number	`8`	VPNセッションタイムアウト

2つのOSSリポジトリを2026年4月時点の最新に更新しました。

どちらもOSSとして公開していますので、Issue・PRお待ちしております。

では。