AWSは先頃、Firewall ManagerがPalo Alto NetworksのCloud Next Generation Filewalls(NGFW)をサポートすることを発表した。Palo Alto NetworksはAWSとの提携を通じて、AWSデプロイメントのセキュリティを簡単に確保できるように設計された"マネージド・ファイアウォールサービス"を提供する。
AWSの副社長でチーフエバンジェリストのJeff Barr氏は、Cloud NGFW for AWSのメリットを次のように説明する。
Palo Alto Networksは、"ディープパケット・インスペクション"という概念をNGFWに導入したパイオニアです。Cloud NGFW for AWSでは、ネットワークパケットを復号化してその内部を調査することで、シグネチャを使用するアプリケーションの特定、プロトコルのデコーディング、動作分析、ヒューリスティックを可能にしています。これにより、ポートやプロトコルやIPアドレスのみに基いた単純なモデルより効果的な、きめの細かい、アプリケーション中心型のセキュリティ管理の実装が可能になります。
Advanced URL Filteringを使うことで、フィード、およびウィルスやスパイウェアなどのマルウェア配布サイトに関する情報収集リストに基づいて、ネットワークトラフィックを識別、処理するルールを作成することが可能になる。その他にも、既知の脆弱性エクスプロイトやマルウェアを阻止するThreat Prevention、レイヤ7トラフィック分類(traffic classification)に基いてトラフィックをコントロールすることで攻撃リスクを低減するApp-IDといったPalo Altoテクノロジがサポートされている。
出典: https://live.paloaltonetworks.com/t5/blogs/how-native-is-cloud-ngfw-for-aws/ba-p/476736
Cloud NGFWは、クラウドワークロードの監視や保護をするIPSアプライアンスを挿入せずに、VPC間のトラフィックをコントロールすることができる。Palo AltoのテクノロジをAWS上で使用することはこれまでも可能だったが、セットアップが難しい上に、VPN接続、またはいわゆるVPC挿入(VPC insertion)のどちらかを必要としていた。さらに、ファイアウォールの管理やインフラストラクチャのスケーリングを、ユーザが行わなければならなかったのだ。
同社では、"Getting Started with Cloud NGFW for AWS"ガイドをリリースして新サービスのセットアップを文書化するとともに、自社のtech blogで次のように説明している。
Cloud NGFWは、さまざまな展開シナリオをサポートします。Internet GatewayやNATゲートウェイ、TransitゲートウェイといったAWSゲートウェイとNGFWエンドポイント、VPCルーティングを併用すれば、分散型と集中型、どちらの展開アーキテクチャもサポート可能です。これらのアーキテクチャにおいて、Cloud NGFWは、アウトバウンド、東西(east-west)、インバウンドの各トラフィックにおけるBITW(bump-in-the-wire)として機能します。トラフィックパケットのヘッダとペイロードには手を加えず、デスティネーションに対して完全なビジビリティを提供します(SNAT/DNATなし)。
AWSプリンシパルプロダクトマネージャのNick Matthews氏は、パートナシップについて次のようにツイートしている。
本当にクールな — AWSのPalo Alto・アズ・ア・サービスだと思います。サードパーティのサービスを'チェックボックスひとつで'有効にする方法について、何年も前から話してきましたが、ようやくそれが実現しました。
さらに加えて、
特に素晴らしいと思うのは、ファイアウォールがVPC内で唯一のネットワークインターフェースとして表れている点です — ファイアウォールのスタックやロードバランサや対称性に煩わされることはありません。
Amazon Firewall Managerは、AWS WAF、Shield Advanced、VPCセキュリティグループ、AWS Network Firewall、Route 53 DNS Resolver DNS Firewallなど、他のタイプのファイアウォールもサポートしている。
AWS Firewall ManagerとCloud NGFWは地域限定のサービスである。Cloud NGFWは現在、Northern VirginiaとNorthern Californiaの2リージョンでのみサポートされている。このサービスはAWS Marketplaceにおいて、1.637ドル/時間＋処理トラフィック量の従量課金制で提供されている。Threat PreventionとAdvanced URL Filteringの各機能は別料金になる。