![【Security Hub修復手順】[NetworkFirewall.4] Network Firewall ポリシーのデフォルトのステートレスアクションは、完全なパケットに対してドロップまたは転送される必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[NetworkFirewall.4] Network Firewall ポリシーのデフォルトのステートレスアクションは、完全なパケットに対してドロップまたは転送される必要があります
こんにちは、クラスメソッドの長澤です。
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？
本記事では、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[NetworkFirewall.4] Network Firewall ポリシーのデフォルトのステートレスアクションは、完全なパケットに対してドロップまたは転送される必要があります
[NetworkFirewall.4] The default stateless action for Network Firewall policies should be drop or forward for full packets
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、Network Firewallポリシーで「完全なパケット」に対するステートレスデフォルトアクションが「ドロップ」または「ステートフルルールグループに転送」に設定されているかチェックします。
「ドロップ」または「ステートフルルールグループに転送」を選択しているとコントロールは成功し、「パス」を選択していると失敗します。
Network Firewallに入ってきたパケットは、まずステートレスルールグループで評価されます。どのステートレスルールにも一致しなかったパケットの扱いを決めるのが、ステートレスデフォルトアクションです。
ステートレスデフォルトアクションが「パス」に設定されていると、ステートレスルールに一致しないパケットは検査されずにそのまま許可されます。ファイアウォールを設置していても、外部からの不正アクセスや内部から外部への意図しない通信が素通りしてしまうため、本番環境・本番以外の環境ともに対応が必要です。
なお、ステートレスルールグループに一致しないパケットを意図的にすべて許可する設計にしている場合は、検出結果のワークフローステータスを「抑制済み」に設定する運用も可能です。ただし、その設計が本当に意図したものかどうかは、後述のステークホルダーへの確認を実施してから判断してください。
修復手順
コントロールの確認方法
- Security Hubコンソールを開く
- 左メニューから「検出結果」を選択
- フィルターで対象のコントロールID「NetworkFirewall.4」を検索
検出結果から、対象のNetwork Firewallポリシーを特定します。
ステークホルダーに確認
修復を行う前に、以下の点をステークホルダーに確認してください。
- ステートレスデフォルトアクションを「パス」にしているのが意図的な設計かどうか
- デフォルトアクションを「ドロップ」に変更した場合、現在通っている通信が遮断されて業務影響が出ないか（必要な通信がステートレスルールグループまたはステートフルルールグループで明示的に許可されているか）
- 「ステートフルルールグループに転送」を選択する場合、対象のポリシーにステートフルルールグループが1つ以上関連付けられているか（関連付けがないと、転送先での検査が行われず意図しない許可につながります）
修復手順
- VPCコンソールを開く
- 左メニューの「ネットワークファイアウォール」配下の「ファイアウォールポリシー」を選択
- 対象のファイアウォールポリシー名を選択
- 「ステートレスデフォルトアクション」セクションで「編集」を選択
- 「完全なパケット」のアクションで「ドロップ」または「ステートフルルールグループに転送」を選択
- 「保存」を選択
変更は、ポリシーを使用しているファイアウォールへ通常数分以内に反映されます。
「ドロップ」に変更すると、これまでデフォルトアクションで許可されていた通信は遮断されます。必要な通信は、ステートレスルールグループまたはステートフルルールグループで明示的に許可してください。
修復確認
修復後、Security Hubで検出結果が「PASSED」になることを確認します。
このコントロールに関連するAWS Configルール（netfw-policy-default-action-full-packets）は変更トリガー型のため、設定変更後に再評価が実行されます。Security Hubの検出結果への反映には時間がかかる場合がありますので、すぐにPASSEDにならなくても慌てずに待ちましょう。
参考資料
最後に
今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介しました。
コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
