AWS Network ACLとセキュリティグループで実装するVPCセキュリティ設計｜ステートレス・ステートフルの違いと2層防御の実践パターン

この記事のポイント

・NACLはサブネット単位のステートレスFW、SGはインスタンス単位のステートフルFW
・ステートレスのNACLはエフェメラルポートのアウトバウンド許可が必須
・「NACL=不審IP遮断」「SG=インスタンス間の通信制御」で役割を分担する
・SGはSG IDを参照したチェーン設計にすることで、IP変動やオートスケーリングに強くなる
・マルチAZ構成では同じ役割のサブネットに同じNACLを関連付けてルール不一致を防ぐ
・L7のドメイン・ペイロード検査が必要なときはNetwork Firewallを追加する
・Network Firewallのステートフルルールは5タプル・ドメインリスト・Suricata互換の3形式から選べる
・StatefulEngineOptionsはSTRICT_ORDERを指定してルール評価順を明示的に制御する
・複数VPC環境は検査VPC（Inspection VPC）パターンでFirewallをTransit Gateway経由で集中配置できる

# セキュリティグループを作成する
$ aws ec2 create-security-group   --group-name web-sg   --description "Web server security group"   --vpc-id vpc-0123456789abcdef0

# 実行結果（GroupIdを控えておく）
{
    "GroupId": "sg-0123456789abcdef0"
}

# HTTPS（443）をインターネット全体から許可
$ aws ec2 authorize-security-group-ingress   --group-id sg-0123456789abcdef0   --protocol tcp   --port 443   --cidr 0.0.0.0/0

# SSH（22）を社内ネットワーク（プライベートアドレス）からのみ許可
$ aws ec2 authorize-security-group-ingress   --group-id sg-0123456789abcdef0   --protocol tcp   --port 22   --cidr 10.0.0.0/8

# インバウンドルールを確認する
$ aws ec2 describe-security-groups   --group-ids sg-0123456789abcdef0   --query 'SecurityGroups[*].IpPermissions'

[
    {
        "FromPort": 443,
        "IpProtocol": "tcp",
        "IpRanges": [
            {
                "CidrIp": "0.0.0.0/0",
                "Description": "HTTPS from anywhere"
            }
        ],
        "ToPort": 443
    },
    {
        "FromPort": 22,
        "IpProtocol": "tcp",
        "IpRanges": [
            {
                "CidrIp": "10.0.0.0/8",
                "Description": "SSH from private network only"
            }
        ],
        "ToPort": 22
    }
]

# DBサーバーのSGに「AppサーバーのSGからの接続のみ許可」を設定する例
$ aws ec2 authorize-security-group-ingress   --group-id sg-db-xxxxxxxx   --protocol tcp   --port 3306   --source-group sg-app-xxxxxxxx

# SGチェーンの確認
$ aws ec2 describe-security-groups   --group-ids sg-db-xxxxxxxx   --query 'SecurityGroups[*].IpPermissions[*].UserIdGroupPairs'

[
    [
        {
            "GroupId": "sg-app-xxxxxxxx",
            "UserId": "123456789012"
        }
    ]
]

# SGのルール一覧を確認する（名前とインバウンドルールを表示）
$ aws ec2 describe-security-groups   --group-ids sg-0123456789abcdef0   --query 'SecurityGroups[*].{Name:GroupName,Inbound:IpPermissions}'   --output table

# EC2インスタンスに紐づくSGを確認する
$ aws ec2 describe-instances   --instance-ids i-0123456789abcdef0   --query 'Reservations[*].Instances[*].SecurityGroups'

[
    [
        {
            "GroupName": "web-sg",
            "GroupId": "sg-0123456789abcdef0"
        }
    ]
]

# カスタムNACLを作成する
$ aws ec2 create-network-acl   --vpc-id vpc-0123456789abcdef0

# 実行結果（NetworkAclIdを控えておく）
{
    "NetworkAcl": {
        "NetworkAclId": "acl-0123456789abcdef0"
    }
}

# NACLのルール一覧を確認する
$ aws ec2 describe-network-acls   --network-acl-ids acl-0123456789abcdef0   --query 'NetworkAcls[*].Entries[*].[RuleNumber,RuleAction,Protocol,PortRange,CidrBlock,Egress]'   --output table

-------------------------------------------------------------------
| Rule# | Action | Protocol | PortRange | CidrBlock | Egress     |
|-------|--------|----------|-----------|-----------|------------|
| 100   | allow  | 6(TCP)   | 443-443   | 0.0.0.0/0 | False(IN)  |
| 32767 | deny   | -1(ALL)  | -         | 0.0.0.0/0 | False(IN)  |
| 32767 | deny   | -1(ALL)  | -         | 0.0.0.0/0 | True(OUT)  |
-------------------------------------------------------------------
# アウトバウンドルールが暗黙DENYのみ → レスポンスが返せない

# エフェメラルポートの範囲をOS別に確認する
# Amazon Linux 2023 / RHEL 9.4
$ cat /proc/sys/net/ipv4/ip_local_port_range
32768   60999

# NACLのアウトバウンドルールに追加する（安全側で1024-65535を許可）
$ aws ec2 create-network-acl-entry   --network-acl-id acl-0123456789abcdef0   --no-ingress   --rule-number 100   --protocol tcp   --rule-action allow   --cidr-block 0.0.0.0/0   --port-range From=1024,To=65535

# サブネットとNACLの関連付けを確認する
$ aws ec2 describe-subnets   --subnet-ids subnet-0123456789abcdef0   --query 'Subnets[*].[SubnetId,Tags[?Key==`Name`].Value|[0]]'

[
    [
        "subnet-0123456789abcdef0",
        "public-subnet-1a"
    ]
]

# そのサブネットに紐づくNACLを確認する
$ aws ec2 describe-network-acls   --filters "Name=association.subnet-id,Values=subnet-0123456789abcdef0"   --query 'NetworkAcls[*].NetworkAclId'

[
    "acl-0123456789abcdef0"
]

# 既存サブネットのNACLを新しいカスタムNACLに切り替える
# （association-idはdescribe-network-aclsのAssociationsから取得する）
$ aws ec2 replace-network-acl-association   --association-id aclassoc-0123456789abcdef0   --network-acl-id acl-0new456789abcdef0

# 同じカスタムNACLを複数サブネットに関連付ける例
# ap-northeast-1a のパブリックサブネット
$ aws ec2 replace-network-acl-association   --association-id aclassoc-1a-xxxxxxxxx   --network-acl-id acl-public-xxxxxxxxx

# ap-northeast-1c のパブリックサブネット（同じNACL IDを指定）
$ aws ec2 replace-network-acl-association   --association-id aclassoc-1c-xxxxxxxxx   --network-acl-id acl-public-xxxxxxxxx

# 1つのNACLに関連付けられているサブネット一覧を確認する
$ aws ec2 describe-network-acls   --network-acl-ids acl-public-xxxxxxxxx   --query 'NetworkAcls[*].Associations[*].[SubnetId,NetworkAclAssociationId]'   --output table

# パブリックサブネットNACL（インバウンド）
Rule 100: ALLOW TCP 443 from 0.0.0.0/0    # HTTPS（インターネット→ALB）
Rule 200: ALLOW TCP 80  from 0.0.0.0/0    # HTTP（ALBでHTTPSへリダイレクト）
Rule 32767: DENY ALL                       # 暗黙のDENY

# パブリックサブネットNACL（アウトバウンド）
Rule 100: ALLOW TCP 1024-65535 to 0.0.0.0/0  # エフェメラルポート（レスポンス）
Rule 200: ALLOW ALL to 10.0.0.0/8             # VPC内部通信
Rule 32767: DENY ALL                           # 暗黙のDENY

# DBサブネットNACL（インバウンド）
Rule 100: ALLOW TCP 3306 from 10.0.2.0/24    # Appサブネット（10.0.2.0/24）のみ
Rule 32767: DENY ALL                           # 他は全てDENY

# DBサブネットNACL（アウトバウンド）
Rule 100: ALLOW TCP 1024-65535 to 10.0.2.0/24 # エフェメラルポートでの応答
Rule 32767: DENY ALL

# ステートレスルールグループ: ICMPをpassし残りをステートフルへ転送
aws network-firewall create-rule-group   --rule-group-name stateless-icmp-pass   --type STATELESS   --capacity 10   --rule-group '{
    "RulesSource": {
      "StatelessRulesAndCustomActions": {
        "StatelessRules": [
          {
            "RuleDefinition": {
              "MatchAttributes": {
                "Protocols": [1]
              },
              "Actions": ["aws:pass"]
            },
            "Priority": 1
          }
        ]
      }
    }
  }'   --region ap-northeast-1

# 実行結果（RuleGroupArnを控えておく）
{
    "RuleGroupResponse": {
        "RuleGroupArn": "arn:aws:network-firewall:ap-northeast-1:123456789012:stateless-rulegroup/stateless-icmp-pass",
        "RuleGroupName": "stateless-icmp-pass",
        "RuleGroupStatus": "ACTIVE",
        "Type": "STATELESS"
    }
}

# ドメインリスト型ALLOWLIST（.amazonaws.com / amazon.com のみHTTPS/HTTP通信を許可）
cat > /tmp/stateful-rules.json << 'EOF'
{
  "StatefulRuleOptions": {
    "RuleOrder": "DEFAULT_ACTION_ORDER"
  },
  "RulesSource": {
    "RulesSourceList": {
      "Targets": [
        ".amazonaws.com",
        "amazon.com"
      ],
      "TargetTypes": ["TLS_SNI", "HTTP_HOST"],
      "GeneratedRulesType": "ALLOWLIST"
    }
  }
}
EOF

aws network-firewall create-rule-group   --rule-group-name domain-allowlist   --type STATEFUL   --capacity 100   --rule-group file:///tmp/stateful-rules.json   --region ap-northeast-1

# ドメインリスト型DENYLIST（悪意あるドメインをブロック）
aws network-firewall create-rule-group   --rule-group-name block-malicious-domains   --type STATEFUL   --capacity 100   --rule-group '{
    "RulesSource": {
      "RulesSourceList": {
        "Targets": [
          "malware.example.com",
          ".evil-domain.net"
        ],
        "TargetTypes": ["TLS_SNI", "HTTP_HOST"],
        "GeneratedRulesType": "DENYLIST"
      }
    }
  }'   --region ap-northeast-1

# HTTPSのSNIでドメインをブロック（TLSのClientHelloを検査）
drop tls any any -> any any (
  tls.sni; content:"malware-c2.example"; nocase;
  msg:"Block C2 domain over HTTPS";
  sid:100001; rev:1;
)

# HTTPのHostヘッダでドメインをブロック
drop http any any -> any any (
  http.host; content:"malware-c2.example"; nocase;
  msg:"Block C2 domain over HTTP";
  sid:100002; rev:1;
)

# SSHブルートフォース検知（5秒以内に10パケット）
drop tcp any any -> any 22 (
  msg:"ET SCAN SSH Brute Force Attempt";
  flow:to_server;
  threshold: type both, track by_src, count 10, seconds 5;
  classtype:attempted-admin; sid:2001219; rev:4;
)

# ファイアウォールポリシー定義JSONを作成
cat > /tmp/firewall-policy.json << 'EOF'
{
  "StatelessDefaultActions": ["aws:forward_to_sfe"],
  "StatelessFragmentDefaultActions": ["aws:forward_to_sfe"],
  "StatelessRuleGroupReferences": [
    {
      "ResourceArn": "arn:aws:network-firewall:ap-northeast-1:123456789012:stateless-rulegroup/stateless-icmp-pass",
      "Priority": 1
    }
  ],
  "StatefulRuleGroupReferences": [
    {
      "ResourceArn": "arn:aws:network-firewall:ap-northeast-1:123456789012:stateful-rulegroup/domain-allowlist",
      "Priority": 1
    }
  ],
  "StatefulDefaultActions": ["aws:drop_established"],
  "StatefulEngineOptions": {
    "RuleOrder": "STRICT_ORDER"
  }
}
EOF

# ファイアウォールポリシーを作成
aws network-firewall create-firewall-policy   --firewall-policy-name vpc-egress-policy   --firewall-policy file:///tmp/firewall-policy.json   --region ap-northeast-1

# 現在のUpdateTokenを取得する
aws network-firewall describe-firewall-policy   --firewall-policy-name vpc-egress-policy   --query "UpdateToken"   --output text   --region ap-northeast-1

# ルールグループを追加してポリシーを更新する
aws network-firewall update-firewall-policy   --update-token "取得したUpdateToken"   --firewall-policy-name vpc-egress-policy   --firewall-policy '{
    "StatelessDefaultActions": ["aws:forward_to_sfe"],
    "StatelessFragmentDefaultActions": ["aws:forward_to_sfe"],
    "StatefulDefaultActions": ["aws:drop_established"],
    "StatefulEngineOptions": {"RuleOrder": "STRICT_ORDER"},
    "StatefulRuleGroupReferences": [
      {"ResourceArn": "arn:aws:...:stateful-rulegroup/domain-allowlist", "Priority": 1},
      {"ResourceArn": "arn:aws:...:stateful-rulegroup/block-malicious-domains", "Priority": 2}
    ]
  }'   --region ap-northeast-1

# ファイアウォールサブネットを作成（例: ap-northeast-1a に /28）
aws ec2 create-subnet   --vpc-id vpc-0xxxxxxxxxxxxxxxxx   --cidr-block 10.0.10.0/28   --availability-zone ap-northeast-1a   --tag-specifications 'ResourceType=subnet,Tags=[{Key=Name,Value=firewall-subnet-1a}]'   --region ap-northeast-1

{
    "Subnet": {
        "SubnetId": "subnet-0firewall1axxxxxxx",
        "VpcId": "vpc-0xxxxxxxxxxxxxxxxx",
        "CidrBlock": "10.0.10.0/28",
        "AvailabilityZone": "ap-northeast-1a"
    }
}

# ファイアウォール本体を作成（マルチAZ: ap-northeast-1a / ap-northeast-1c）
aws network-firewall create-firewall   --firewall-name vpc-egress-firewall   --firewall-policy-arn "arn:aws:network-firewall:ap-northeast-1:123456789012:firewall-policy/vpc-egress-policy"   --vpc-id vpc-0xxxxxxxxxxxxxxxxx   --subnet-mappings SubnetId=subnet-0firewall1axxxxxxx SubnetId=subnet-0firewall1cxxxxxxx   --region ap-northeast-1

# ステータス確認（PROVISIONINGからREADYになるまで5～10分かかる）
aws network-firewall describe-firewall   --firewall-name vpc-egress-firewall   --query "FirewallStatus.Status"   --output text   --region ap-northeast-1

# READY になると各AZのEndpointId（vpce-xxx）が取得できる
aws network-firewall describe-firewall-status   --firewall-name vpc-egress-firewall   --query "FirewallStatus.SyncStates"   --output yaml   --region ap-northeast-1

# 出力例
# ap-northeast-1a:
#   Attachment:
#     EndpointId: vpce-0abc1234def56789a
#     Status: READY
# ap-northeast-1c:
#   Attachment:
#     EndpointId: vpce-0f1e2d3c4b5a67890
#     Status: READY
# "Status": "READY" と EndpointId を確認したらルートテーブル変更に進む

# プライベートサブネット（AZ: ap-northeast-1a）のルートテーブルを更新
# Egress通信をFirewallエンドポイント（vpce-0abc1234def56789a）経由に変更
aws ec2 create-route   --route-table-id rtb-0private1a   --destination-cidr-block 0.0.0.0/0   --vpc-endpoint-id vpce-0abc1234def56789a   --region ap-northeast-1

# Firewallサブネット（AZ: ap-northeast-1a）のルートテーブルを設定
# 検査後のEgressをNAT Gatewayへ転送
aws ec2 create-route   --route-table-id rtb-0firewall1a   --destination-cidr-block 0.0.0.0/0   --nat-gateway-id nat-0abc1234def56789a   --region ap-northeast-1

# ルートテーブルを確認する（Firewallエンドポイントが向き先になっているか）
aws ec2 describe-route-tables   --route-table-ids rtb-0private1a   --query "RouteTables[0].Routes"   --output table   --region ap-northeast-1

# 出力例（抜粋）
# DestinationCidrBlock  GatewayId                    State
# 10.0.0.0/16           local                        active
# 0.0.0.0/0             vpce-0abc1234def56789a       active

# ① IGWルートテーブル（Ingress Routing用）
# インバウンドをAZ対応のファイアウォールエンドポイントへ向ける
10.0.1.0/24 → vpce-xxxxxxxx-1a  # 1a パブリックサブネット宛はエンドポイント-1aへ
10.0.2.0/24 → vpce-xxxxxxxx-1c  # 1c パブリックサブネット宛はエンドポイント-1cへ

# ② ファイアウォールサブネットのルートテーブル
# 検査後トラフィックをIGWへ送る
0.0.0.0/0 → igw-xxxxxxxx

# ③ パブリックサブネットのルートテーブル（変更前→変更後）
# 変更前: 0.0.0.0/0 → igw-xxxxxxxx  ← これをエンドポイントに付け替える
# 変更後: アウトバウンドを同AZのエンドポイントへ向ける
0.0.0.0/0 → vpce-xxxxxxxx-1a  # 同AZのファイアウォールエンドポイントIDを指定

# 注意：AZ対応を必ず守ること
# 1aサブネットのトラフィックを1cエンドポイントへ向けると
# 非対称ルーティングが発生して通信が切断される

# CloudWatch LogsのロググループをCLIで作成
aws logs create-log-group   --log-group-name /aws/network-firewall/flow   --region ap-northeast-1
aws logs create-log-group   --log-group-name /aws/network-firewall/alert   --region ap-northeast-1

# フローログとアラートログを両方CloudWatch Logsへ設定
aws network-firewall update-logging-configuration   --firewall-name vpc-egress-firewall   --logging-configuration '{
    "LogDestinationConfigs": [
      {
        "LogType": "FLOW",
        "LogDestinationType": "CloudWatchLogs",
        "LogDestination": {
          "logGroup": "/aws/network-firewall/flow"
        }
      },
      {
        "LogType": "ALERT",
        "LogDestinationType": "CloudWatchLogs",
        "LogDestination": {
          "logGroup": "/aws/network-firewall/alert"
        }
      }
    ]
  }'   --region ap-northeast-1

# アラートログからブロックされたトラフィックを絞り込んで確認する
aws logs filter-log-events   --log-group-name /aws/network-firewall/alert   --filter-pattern '"blocked"'   --start-time $(date -d "10 minutes ago" +%s000)   --limit 10   --region ap-northeast-1   --query "events[].message"   --output text | python3 -m json.tool

# 設定後、許可外ドメインへの通信テスト（タイムアウトになればブロック成功）
curl -m 5 https://example.com

{
  "firewall_name": "vpc-egress-firewall",
  "availability_zone": "ap-northeast-1a",
  "event": {
    "src_ip": "10.0.1.100",
    "src_port": 54321,
    "dest_ip": "93.184.216.34",
    "dest_port": 443,
    "proto": "TCP",
    "tls": {
      "sni": "example.com"
    },
    "alert": {
      "action": "blocked",
      "signature": "not matching any TLS allowlisted FQDNs"
    }
  }
}

# 問題のサブネットに紐づくNACLを確認する
$ aws ec2 describe-network-acls   --filters "Name=association.subnet-id,Values=subnet-0123456789abcdef0"   --query 'NetworkAcls[*].Entries[?Egress==`false`].[RuleNumber,RuleAction,Protocol,PortRange.From,PortRange.To,CidrBlock]'   --output table

# インバウンドの許可ルールにアクセスしたいポートが含まれているか確認
# アウトバウンドのエフェメラルポート（1024-65535）許可があるか確認

$ aws ec2 describe-network-acls   --filters "Name=association.subnet-id,Values=subnet-0123456789abcdef0"   --query 'NetworkAcls[*].Entries[?Egress==`true`].[RuleNumber,RuleAction,PortRange.From,PortRange.To]'   --output table

| Rule# | Action | PortFrom | PortTo |
|-------|--------|----------|--------|
| 32767 | deny   | None     | None   |
# アウトバウンドが暗黙DENYのみ → エフェメラルポート許可を追加する

# アウトバウンドにエフェメラルポート許可ルールを追加する
$ aws ec2 create-network-acl-entry   --network-acl-id acl-0123456789abcdef0   --no-ingress   --rule-number 100   --protocol tcp   --rule-action allow   --cidr-block 0.0.0.0/0   --port-range From=1024,To=65535

# 追加後の確認
$ aws ec2 describe-network-acls   --network-acl-ids acl-0123456789abcdef0   --query 'NetworkAcls[*].Entries[?Egress==`true`].[RuleNumber,RuleAction,PortRange.From,PortRange.To]'   --output table

| Rule# | Action | PortFrom | PortTo |
|-------|--------|----------|--------|
| 100   | allow  | 1024     | 65535  |
| 32767 | deny   | None     | None   |
# ルール100でエフェメラルポートが許可された

# VPC Flow Logsを有効化する（CloudWatch Logsへ出力）
$ aws ec2 create-flow-logs   --resource-type VPC   --resource-ids vpc-0123456789abcdef0   --traffic-type ALL   --log-destination-type cloud-watch-logs   --log-group-name /aws/vpc/flow-logs   --deliver-logs-permission-arn arn:aws:iam::123456789012:role/FlowLogsRole

# Flow Logsのフォーマット（主なフィールド）
# version account-id interface-id srcaddr dstaddr srcport dstport protocol packets bytes start end action log-status
# action が REJECT の行がNACLまたはSGで弾かれたトラフィック

# CloudWatch Logs Insightsでリアルタイムに絞り込む例
# フィールド: @timestamp, srcAddr, dstAddr, dstPort, action
# | filter action = "REJECT"
# | sort @timestamp desc
# | limit 20

# Linuxで待ち受けているポートを確認する（Amazon Linux 2023 / RHEL 9.4）
$ ss -tlnp
State   Recv-Q  Send-Q  Local Address:Port  Peer Address:Port  Process
LISTEN  0       128     0.0.0.0:443         0.0.0.0:*          users:(("nginx",pid=1234,fd=6))
LISTEN  0       128     0.0.0.0:22          0.0.0.0:*          users:(("sshd",pid=888,fd=3))

# 443番ポートでNginxがリッスンしていることを確認
# ポートがリッスンしていない場合はアプリ側の問題（AWSのFW設定ではない）
$ systemctl status nginx
Active: active (running) since Thu 2026-07-25 10:00:00 UTC; 1h ago

# ファイアウォールのステータスを確認
aws network-firewall describe-firewall   --firewall-name vpc-egress-firewall   --query "FirewallStatus"   --region ap-northeast-1

# ファイアウォールポリシーのStatefulDefaultActionsを確認
aws network-firewall describe-firewall-policy   --firewall-policy-name vpc-egress-policy   --query "FirewallPolicy.StatefulDefaultActions"   --region ap-northeast-1

# パブリックサブネット-1aのルートテーブルで0.0.0.0/0の向き先を確認する
$ aws ec2 describe-route-tables   --filters Name=tag:Name,Values=public-rt-1a   --query "RouteTables[].Routes[?DestinationCidrBlock=='0.0.0.0/0']"

# IGWルートテーブルで1aパブリックサブネット宛のエンドポイントIDを確認する
$ aws ec2 describe-route-tables   --filters Name=tag:Name,Values=igw-rt   --query "RouteTables[].Routes[?DestinationCidrBlock=='10.0.1.0/24']"

# エンドポイントIDが同AZのものになっているか照合する
# 「vpce-xxxxxxxxxx-1a」が1aサブネット宛に対応しているか目視確認

# 全AZのステータスを確認
aws network-firewall describe-firewall   --firewall-name vpc-egress-firewall   --query "FirewallStatus.SyncStates[*].Attachment.Status"   --region ap-northeast-1