![【Security Hub修復手順】[NetworkFirewall.9] Network Firewall は削除保護を有効にする必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[NetworkFirewall.9] Network Firewall は削除保護を有効にする必要があります
こんにちは、クラスメソッドの長澤です。
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？
本記事では、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[NetworkFirewall.9] Network Firewall は削除保護を有効にする必要があります
[NetworkFirewall.9] Network Firewall firewalls should have deletion protection enabled
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、AWS Network Firewallのファイアウォールで削除保護が有効になっているかチェックします。削除保護が無効のファイアウォールがある場合、コントロールはFAILEDになります。
削除保護が無効だと、コンソールの誤操作やIaCの設定ミスでファイアウォールがそのまま削除されてしまいます。ファイアウォールを削除すると、ルートテーブルでファイアウォールエンドポイントを宛先にしている経路がブラックホールになり、ファイアウォールを経由する通信が止まります。再作成してルートテーブルを設定し直すまで、通信の停止とトラフィック検査の停止が続きます。本番環境では対応が必須です。
一方、検証用途で作成と削除を繰り返す環境では、削除のたびに削除保護を無効化する手間がかかります。本番以外の環境では、無効のままでも問題ありません。
修復手順
コントロールの確認方法
- Security Hubコンソールを開く
- 左メニューから「コントロール」を選択
- 対象のコントロールID「NetworkFirewall.9」を検索して開く
「チェック」タブで、コンプライアンスのステータスが「FAILED」のファイアウォールを確認します。
ステークホルダーに確認
修復を行う前に、以下の点をステークホルダーに確認してください。
- 対象のファイアウォールは本番環境で使用しているものか、検証用途で作成と削除を繰り返すものか
- ファイアウォールをCloudFormationやTerraformなどのIaCで管理しているか
- 管理している場合、コンソールで変更するとコードとの差分が発生します。コード側で削除保護を有効にしてください（CloudFormationは
DeleteProtection: true、Terraformはdelete_protection = true） - 削除保護を有効にすると、スタックの削除や
terraform destroyでファイアウォールを削除できなくなります。削除時は先に削除保護を無効化する必要があります
- 管理している場合、コンソールで変更するとコードとの差分が発生します。コード側で削除保護を有効にしてください（CloudFormationは
削除保護の有効化は、ファイアウォールを通過するトラフィックには影響しません。
修復手順
- Amazon VPCコンソール（https://console.aws.amazon.com/vpc/）を開く
- ナビゲーションペインから「Network Firewall」>「ファイアウォール」を選択
- 対象のファイアウォール名をクリック
- 「ファイアウォールの詳細」タブを選択し、「変更保護」セクションの「編集」をクリック
- 「変更に対する保護」ダイアログで、「削除保護」の「有効化」にチェックを入れる
- 「保存」をクリック
- 「変更保護」セクションで、削除保護が「有効」になっていることを確認する
AWS CLIで有効化する場合は、以下のコマンドを実行します。
aws network-firewall update-firewall-delete-protection \
--firewall-name <ファイアウォール名> \
--delete-protection
修復確認
修復後、Security Hubで検出結果が「PASSED」になることを確認します。
このコントロールのAWS Configルール（netfw-deletion-protection-enabled）はChange triggered（変更トリガー）のため、ファイアウォールの設定変更後に評価が実行されます。Security Hubの検出結果に反映されるまで数時間かかる場合があります。
最後に
今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。
コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
