Alibaba Cloud、AWS、Azure、Google Cloud のファイアウォールサービスを比べてみた

Alibaba Cloud

Alibaba Cloud のCloud Firewallは、Premium Edition、Enterprise Edition、およびUltimate Editionが提供されています。 機能とアセットまたは帯域幅の仕様は、エディションによって異なります。また今回の機能比較で掲載しているVPC間のトラフィック制御については、Enterprise Editionでしか提供されていません。各エディションの機能詳細については、公式サイトのFunctions and featuresをご参照ください。

機能比較に記載した少しわかりづらい用語を補足させていただきます。

■ポリシーアクションとしてのMonitor

AlibabaにはポリシーアクションとしてMonitorが用意されています。

Monitorは単に許可・拒否をするのではなく、ポリシーを満たしているトラフィックを一定期間監視して、一定要件を満たした場合に許可または拒否に変更できる機能です。

■アプリケーションタイプ

HTTPやHTTPS、SMTPといったアプリケーションタイプでもアクセス制御を実装する事が可能です。

■ドメイン名でのアクセス制御

アクセス制御ポリシーでドメイン名を指定する事が可能です。ドメイン名はダイナミックDNSでIPアドレスを取得し、IPアドレスに対してアクセス制御が実装されます。

注意事項としては以下の3点が挙げられます。

• アプリケーションタイプによっては、実装方式が異なる場合があるのでご注意ください
• アクセス制御はアウトバウンドのポリシーのみで実装可能で、インバウンドのポリシーには実装できません
• ワイルドカードでのドメイン名は指定できません

■ 侵入検知・侵入防止

侵入検知は、侵入防止システムによって検出された侵入イベントと侵入イベントの詳細の記録がされ、確認する事が可能です。

■ 脆弱性保護

脆弱性を悪用する攻撃をブロック可能です。脆弱性を悪用した攻撃を検知した際は、『ブロック』『アラートのみ』『部分的に防止』のアクションを選択する事が出来ます。

脆弱性については、脆弱性ライブラリ検出、脆弱なパスワード検出といった基本的な機能に加え、インターネット上で検出された緊急の脆弱性にも対応しています。

また、アセットに対して実行した脆弱性スキャンの結果などもコンソール上から確認できる機能が実装されています。

■ 脅威インテリジェンス

脅威インテリジェンス機能は、Alibaba Cloud全体で検出された悪意のあるIPアドレスをCloudFirewallに同期し、正確な侵入防止を実装します。これにより悪意のあるアクセス、スキャン、またはブルートフォース攻撃が防止されます。

■ インテリジェントな保護機能

クラウドでの大量のデータに基づいて攻撃を識別し、リアルタイムで攻撃のアラートを生成します。また、攻撃に関する大量のデータを学習して、脅威の検出と攻撃の検出の精度が自動で向上されています。

■ ログ監査、ログ分析

ファイアウォールを通過するログやCloud Firewallの全ての構成とログを記録します。記録したログはリアルタイムで自動的に収集、保存、分析して、特定の基準に基づいた監視やアラート発報を実装する事が出来ます。

AWS

AWSはプランが分かれておらず、1つのプランでFirewall機能が提供されています。

ではどのような機能が提供されているのか、用語を補足しつつ記載させていただきます。

■ Webフィルタリング

暗号化されていないWebトラフィックのWebフィルタリングを提供します。暗号化されているWebトラフィックは、特定のサイトへのアクセスをブロックできます。Firewallだけだと復号化の機能を持っていません。

■ 侵入防止

侵入防止システム(IPS)は脆弱性の悪用やブルートフォースアタック(暗号解読方法のひとつで、可能な組合せを全て試す攻撃)に対して、リアルタイムで検査を実施します。検査はシグネチャベースで行われ、既知の脅威シグネチャと照合されます。

■ アラートログとフローログ

アラートログは、トリガーされたルールとトリガー下特定のセッションに関するログが記録されます。またフローログはファイアウォールを通過する全てのトラフィック情報が取得され、取得されたログはS3などのマネージドストレージに保存する事が可能です。

■ サードパーティ統合

AWS Network Firewallの面白い点として、パートナーとの製品統合が挙げられます。

例えば、ファイアウォールから出力されたログやセキュリティイベントを、SIEMなどのサードパーティの分析ソリューションに送信する事が出来ます。

またパートナー製品とFirewallを組み合わせることで、さまざまな機能を実装したり、より強固なセキュリティ要件を満たすことができます。

パートナーと提供機能についてはAWS Network Firewall Partnersをご参照ください。

■ 制御方式

制御方式もパターンが幾つかあるので補足します。

ステートレスでは、ポリシー内の各ルールが評価されます。ルールは、割り当てられた優先度に基づいて順番に処理され、番号が最も小さいルールが最初に評価されます。

ステートフルではデフォルトの場合、ルールエンジンは最初に pass のアクションを設定しているルールを評価し、次に drop、そして alert の順で処理を実施します。エンジンは、一致するルールが見つかると、ルールの処理を停止します。

ただし、ファイアウォールポリシーが厳格な順序を使用するように設定されている場合、Network Firewall では、ステートフルルールグループに対しても優先度に応じた評価が可能になっています。

Azure

Azureは提供されている機能によってStandardとPremiumにプランが分かれています。PremiumプランではStandardの機能に加えIPSやIDS、TLSインスペクションなどの機能も提供されていますが、Standardだけでも以下で補足させていただく機能が提供されています。

■ 脅威インテリジェンス

Azureは脅威インテリジェンスといったフィルタを有効にすることができます。有効にすると既知の悪意あるIPアドレスやドメインなどのトラフィックに対して警告や拒否を行うことができます。悪意あるIPアドレスやドメインなどのソースはMicrosoftが管理しており、他にもMicrosoft Defender for Cloud などの複数のサービスによって利用されています。

■ Webカテゴリ

Webカテゴリとは、ギャンブルやSNS等のWebサイトカテゴリに対して、ユーザのアクセスを制御できる機能です。

■ DNSプロキシおよびカスタムDNS

Azure FirewallをDNSプロキシとして構成可能です。DNSプロキシを有効にすると、仮想マシンがAzure Firewallを指定する事で、指定したカスタムのDNSサーバへのプロキシとして動作します。もしFQDNで制御を実施する場合は、DNSプロキシを有効にする必要があります。

また、Azure FirewallではデフォルトだとAzure DNSが使用されます。カスタムDNS機能を使用する事で任意のDNSサーバを指定する事が可能です。

■ 強制トンネリング

強制トンネリングを使用すると、Azureネットワーク内からインターネットへの通信に対して、直接インターネットに抜けるのではなく指定されたルータなどにルーティングする事が出来ます。

■ Azure Monitorログ記録

全てのイベントをAzure Monitorと統合できます。

統合することで監視をはじめ、データ分析やレポートの作成も行うことが可能です。

Google Cloud

Google Cloudはサービスプランや付加機能がない非常に分かりやすいシンプル機能です。

1つ特徴としては、Google Cloudではサービスアカウントによる制御が可能です。

サービスアカウントを利用する事で従来のIPやタグベースでの制御だけではなく、例えばテンプレートから新しいGCEをデプロイした場合でも、ファイアウォールを自動的に構成、適用させることができます。ただし、ネットワークタグとサービスアカウントは混在させて一致させることはできないので注意が必要です。

またルールごとにログの記録をオンにする事でCloud Loggingにトラフィックログを連携する事が可能です。

ファイアウォール構成

Firewallといったキーワードをもとに機能比較だけしてみると各社でばらつきがあるように見えますが、Firewallサービスとして特定の機能を提供していないクラウドで同じ機能を実装できないのかと言われるとそんな事はありません。Firewallという1つのサービスに色々な機能を含んでいるのか、それとも含んでいないのかの差だけですので、「Firewallはシンプルに使いたい」なのか、それとも「色々な機能があると1つのサービスで制御しやすくて助かる」なのか、個人によって好き嫌いは分かれると思います。

では実際に仮想マシンの前段にFirewallを置くとしたら各社どのようなイメージになるのでしょうか。今回はVPC内に入ってくるトラッフィックやサブネット間の制御を実施するファイアウォールと各クラウドで提供されている他のセキュリティサービスの簡単な論理構成図を用いて確認していきたいと思います。

VPC内のセキュリティコントロールを見てみると、

Alibaba、AWSでは、ネットワークセキュリティとしてサブネット単位で制御するネットワークACL(アクセスコントロールリスト)や、インスタンスへの通信を制御するセキュリティグループが提供されています。これらを利用する事で、送信元や宛先のIPアドレス、プロトコル、ポートなどによって、無料でアクセス制御が可能です。

Azureでは、ネットワークACLとセキュリティグループが分かれておらず、NSG(ネットワークセキュリティグループ)をサブネットや仮想マシンに紐づけることによって、同様の制御が無料で可能です。

では3つのクラウドではどのような際にFirewallを利用するのでしょうか。

それは、ネットワークACLやセキュリティグループでは上述したようなL3・L4レベルの簡易な制御しかできないため、L7レベルでの制御が求められる場合や、ドメインでの制御、侵入防止など、より多くのセキュリティ要件が求められる環境ではFirewallが必要になってきます。また通信が全てFirewallを通るように構成する事でポリシーの一元管理が出来たり、トラフィックログを有効にすることでログの一元管理や分析も可能になります。

費用は掛かってしまいますが、運用管理面でも非常にメリットがあります。

Google Cloudに関しては、他社がACLやセキュリティグループで提供している内容がVPCファイアウォールと呼ばれているサービスになります。L7レベルのセキュリティを実装したい場合はCloud ArmorやCloud IDSといったサービスと組み合わせて実装します。

料金比較

最後に各クラウドの料金体系を見ていきましょう。

料金体系は、Alibabaのような月額固定性のクラウドやAWS・Azureのように、時間ごとの受領課金+データ処理料金のクラウド、Googleのように無料のクラウドと課金方式が異なります。

では上記の料金表をもとに、1ヵ月間(30日)稼働して、その間にFirewall上を100GBのトラフィックが流れた場合の料金はどのようになるか計算してみましょう。

料金を比較してみると各社にバラつきがあります。理由としては機能比較で説明したようにFirewallの中でも機能差分が多くあるためです。そのため、多くのセキュリティサービスが盛り込まれているけど機能毎の料金は掛からないので安いとみるのか、一部の機能だけ使いたいだけなのに従量やトラフィック量で課金されるのは高いとみるのか、実装要件によるので慎重な判断が必要です。

まとめ

いかがでしたでしょうか。

各クラウドで同じような名前のサービスが提供されていますが、実装におけるサービスの選択方法や料金設定／プランは各社異なります。そのため、どのようなサービスや機能が提供されており、どのような料金体系になっているかは事前に調査し、考慮したうえで比較・設定が必要になります。

また、セキュリティ関連サービスは導入すればそれで終わりではありません。

最近では不正なアクセスに対してセキュリティ対策をしても、不正なアクセスが次々と姿・形を変えるため、それぞれにあった対処方法が必要となり、いたちごっことなります。

それぞれセキュリティ対策を導入後、次々と別の攻撃などが行われていないか、絶えず監視・管理し、メンテナンスを行なっていく必要があります。そのためには、システム提供のシステム管理者のみで対応していくのではなく、各クラウドサービスを上手く活用し、各クラウドによるサービスのアップデートを適宜適用することにより、速やかに対応していくことができます。

関連サービス