![【Security Hub修復手順】[NetworkFirewall.5] Network Firewall ポリシーのデフォルトのステートレスアクションは、断片化されたパケットに対してドロップまたは転送される必要があります。](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[NetworkFirewall.5] Network Firewall ポリシーのデフォルトのステートレスアクションは、断片化されたパケットに対してドロップまたは転送される必要があります。
こんにちは、クラスメソッドの長澤です。
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？
本記事では、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[NetworkFirewall.5] Network Firewall ポリシーのデフォルトのステートレスアクションは、断片化されたパケットに対してドロップまたは転送される必要があります
[NetworkFirewall.5] The default stateless action for Network Firewall policies should be drop or forward for fragmented packets
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、Network Firewallポリシーで「断片化されたパケット」に対するステートレスデフォルトアクションが「ドロップ」または「ステートフルルールグループに転送」に設定されているかチェックします。
「ドロップ」または「ステートフルルールグループに転送」を選択しているとコントロールは成功し、「パス」を選択していると失敗します。
なお、AWS Security Hubのコントロール名では「断片化されたパケット」と表記されていますが、実際のNetwork Firewallコンソール（VPCコンソール）上では「フラグメント化されたパケット」と表示されます。本記事ではこれ以降、コンソールの表示に合わせて「フラグメント化されたパケット」と記載します。
Network Firewallに入ってきたパケットのうち、IPフラグメンテーションされたパケット（複数の断片に分割されたパケット）は、フラグメント再構成された上でステートレスルールグループによる評価を受けます。どのステートレスルールにも一致しなかったフラグメント化パケットの扱いを決めるのが、フラグメント化されたパケットのデフォルトのアクションです。
このデフォルトのアクションが「パス」に設定されていると、ステートレスルールに一致しないフラグメント化パケットは検査されずにそのまま許可されます。フラグメント化パケットはIDS/IPSの検査を回避する目的で悪用されることがあるため、完全なパケット（NetworkFirewall.4が対象）と同様に、本番環境・本番以外の環境ともに対応が必要です。
なお、ステートレスルールグループに一致しないフラグメント化パケットを意図的にすべて許可する設計にしている場合は、検出結果のワークフローステータスを「抑制済み」に設定する運用も可能です。ただし、その設計が本当に意図したものかどうかは、後述のステークホルダーへの確認を実施してから判断してください。
修復手順
コントロールの確認方法
- Security Hubコンソールを開く
- 左メニューから「検出結果」を選択
- フィルターで対象のコントロールID「NetworkFirewall.5」を検索
検出結果から、対象のNetwork Firewallポリシーを特定します。
ステークホルダーに確認
修復を行う前に、以下の点をステークホルダーに確認してください。
- フラグメント化されたパケットのデフォルトのアクションを「パス」にしているのが意図的な設計かどうか
- デフォルトアクションを「ドロップ」に変更した場合、現在通っているフラグメント化パケットの通信が遮断されて業務影響が出ないか（必要な通信がステートレスルールグループまたはステートフルルールグループで明示的に許可されているか）
- 「ステートフルルールグループに転送」を選択する場合、対象のポリシーにステートフルルールグループが1つ以上関連付けられているか（関連付けがないと、転送先での検査が行われず意図しない許可につながります）
修復手順
- VPCコンソールを開く
- 左メニューの「ネットワークファイアウォール」配下の「ファイアウォールポリシー」を選択
- 対象のファイアウォールポリシー名を選択
- 「ステートレスデフォルトアクション」セクションで「編集」を選択
- 「フラグメント化されたパケットのデフォルトのアクション」の「ルールアクション」で「ドロップ」または「ステートフルルールグループに転送」を選択
- 「保存」を選択
変更は、ポリシーを使用しているファイアウォールへ通常数分以内に反映されます。
「ドロップ」に変更すると、これまでデフォルトアクションで許可されていたフラグメント化パケットの通信は遮断されます。必要な通信は、ステートレスルールグループまたはステートフルルールグループで明示的に許可してください。
修復確認
修復後、Security Hubで検出結果が「PASSED」になることを確認します。
このコントロールに関連するAWS Configルール（netfw-policy-default-action-fragment-packets）は変更トリガー型のため、設定変更後に再評価が実行されます。Security Hubの検出結果への反映には時間がかかる場合がありますので、すぐにPASSEDにならなくても慌てずに待ちましょう。
参考資料
最後に
今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介しました。
コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
