ステートフルなトラフィック検査と境界ネットワーク防御

AWS Network Firewallは、VPCの境界においてレイヤー3〜7のきめ細かなステートフルインスペクション、FQDNドメインフィルタリング、Suricata互換のIPS/IDSルールを完全マネージドで提供する。 ALBやCloudFront等に到着するHTTP要求の検査に使う。VPCの送信経路で任意の通信をステートフルに検査するNetwork Firewallとは配置と用途が違う。 セキュリティグループはIPアドレスとポートのみのL4制御であり、ドメイン名検査やIPS機能はない。 ネットワークACLはサブネットレベルのレイヤー4ステートレスルールのみであり、FQDNフィルタリングやL7インスペクションは行えない。

VPCからインターネットへのアウトバウンドトラフィックに対して、ドメイン名(FQDN)のホワイトリスト/ブラックリストフィルタリングや、詳細なレイヤー7ステートフルインスペクション(侵入防止システム IPS)を導入したい。高度なネットワーク検査を完全マネージドで実現する。

最も適切なサービスを1つ選択してください。

出典AWS非公式・オリジナル問題
ア
AWS Network Firewall
イ
AWS WAFのWeb ACL
ウ
セキュリティグループのステートフルルール
エ
ネットワークACL(NACL)