翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

マネージド型 Palo Alto Egress ファイアウォール

AMS は、マルチアカウントランディングゾーン環境内のすべてのネットワーク (パブリック向けサービスを除く) に対してインターネットバウンドアウトバウンドトラフィックフィルタリングを可能にする Managed Palo Alto Egress ファイアウォールソリューションを提供します。このソリューションは、業界をリードするファイアウォールテクノロジー (Palo Alto VM-300) と AMS のインフラストラクチャ管理機能を組み合わせて、準拠した運用環境内でインフラストラクチャをデプロイ、モニタリング、管理、スケーリング、復元します。Palo Alto Networks を含むサードパーティーは、ファイアウォールにアクセスできず、AMS エンジニアによってのみ管理されます。

トラフィックコントロール

マネージドアウトバウンドファイアウォールソリューションは、バックアップやパッチなどのサービスの AMS 必須ドメインと、定義されたドメインで構成されるドメイン許可リストを管理します。アウトバウンドインターネットトラフィックがファイアウォールにルーティングされると、セッションが開かれ、トラフィックが評価され、許可されたドメインと一致する場合、トラフィックは送信先に転送されます。

アーキテクチャ

マネージド Egress ファイアウォールソリューションは、高可用性モデルに従います。このモデルでは、アベイラビリティーゾーン (AZs。このソリューションは、デフォルトの Egress VPC の IP スペースの一部を使用しますが、ファイアウォールの管理に必要な追加のリソース用に VPC 拡張機能 (/24) もプロビジョニングします。

ネットワークフロー

大まかに言うと、パブリックエグレストラフィックルーティングは、エグレス VPC からインターネットにトラフィックをルーティングする方法を除いて変わりません。

ファイアウォール自体には 3 つのインターフェイスが含まれています。

すべてのルーティングを通じて、トラフィックは同じアベイラビリティーゾーン (AZ) 内に維持され、AZ 間のトラフィックが減少します。トラフィックは、フェイルオーバーが発生したときにのみ AZs を通過します。

許可リストの変更

オンボーディング後、 という名前のデフォルトの許可リストams-allowlistが作成され、AMS が必要とするパブリックエンドポイントと、Windows および Linux ホストにパッチを適用するためのパブリックエンドポイントが含まれます。運用後、AMS コンソールの Management | Managed Firewall | Outbound (Palo Alto) カテゴリで RFC を作成して、許可リストを作成または削除したり、ドメインを変更したりできます。は変更ams-allowlistできないことに注意してください。RFC は完全な自動化で処理されます (手動ではありません）。

カスタムセキュリティポリシー

セキュリティポリシーは、送信元と送信先のセキュリティゾーン、送信元と送信先の IP アドレス、サービスなどのトラフィック属性に基づいて、セッションをブロックするか許可するかを決定します。カスタムセキュリティポリシーは、完全に自動化された RFCs。セキュリティポリシーを作成または削除する CTsは、管理 | マネージドファイアウォール | アウトバウンド (Palo Alto) カテゴリにあり、既存のセキュリティポリシーを編集する CT は、デプロイ | マネージドファイアウォール | アウトバウンド (Palo Alto) カテゴリにあります。新しいセキュリティポリシーの作成、セキュリティポリシーの変更、セキュリティポリシーの削除を行うことができます。

CloudWatch PA 出力ダッシュボード

CloudWatch には、パロアルト (PA) の集約ビューを提供する 2 つのダッシュボードがあります。AMS-MF-PA-Egress-Config-Dashboard には、PA 設定の概要、許可リストへのリンク、属性を含むすべてのセキュリティポリシーのリストが用意されています。AMS-MF-PA-Egress-Dashboard は、トラフィックログをフィルタリングするようにカスタマイズできます。たとえば、セキュリティポリシーのダッシュボードを作成するには、次のようなフィルターを使用して RFC を作成できます。

fields @timestamp, @message
| filter @logStream like /pa-traffic-logs/
| filter @message like /<Security Policy Name>/
| parse @message "*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*,*," as x1, @x2, @x3, @x4, @type, @x6, @x7, @source_ip, @destination_ip, @source_nat_ip, @dest_nat_ip, @rule, @x13, @x14, @application, @x16, @from_zone, @to_zone, @x19, @x20, @x21, @x22, @session_id, @x24, @source_port, @destination_port, @source_nat_port, @destination_nat_port, @x29, @protocol, @action, @bytes, @bytes_sent, @bytes_recieved, @packets, @x36, @x37, @category, @x39, @x40, @x41, @source_country, @destination_country, @x44, @packets_sent, @packets_recieved, @session_end_reason, @x48, @x49, @x50
| display @timestamp, @rule, @action, @session_end_reason, @protocol, @source_ip, @destination_ip, @source_port, @destination_port, @session_id, @from_zone, @to_zone, @category, @bytes_sent, @bytes_recieved, @packets_sent, @packets_recieved, @source_country, @destination_country

フェイルオーバーモデル

ファイアウォールソリューションには、2 3 つの Palo Alto (PA) ホスト (AZ ごとに 1 つ) が含まれています。正常チェック Canary は、ホストの状態を評価するために一定のスケジュールで実行されます。ホストが異常と識別された場合、AMS に通知され、その AZ のトラフィックはルートテーブルの変更によって別の AZ の正常なホストに自動的に移行されます。ヘルスチェックワークフローは常に実行されているため、一時的な問題や手動修復によりホストが再び正常になった場合、トラフィックは正常なホストを持つ正しい AZ に戻ります。

スケーリング

AMS は、スループットとスケーリングの制限についてファイアウォールをモニタリングします。スループット制限がより低いウォーターマークしきい値 (CPU/ネットワーキング) を超えると、AMS はアラートを受け取ります。ウォーターメーカーのしきい値が低い場合は、リソースが飽和に近づいており、AMS が時間の経過とともにメトリクスを評価し、スケーリングソリューションを提案するポイントに達していることを示します。

バックアップと復元

バックアップは、初回起動時、設定変更後、および定期的な間隔で作成されます。初期起動バックアップはホストごとに作成されますが、バックアップワークフローが呼び出されると、設定変更と定期的な間隔のバックアップがすべてのファイアウォールホストで実行されます。AMS エンジニアは、これらのウィンドウ外で追加のバックアップを作成したり、必要に応じてバックアップの詳細を提供したりできます。

AMS エンジニアは、必要に応じて設定バックアップの復元を実行できます。復元が必要な場合は、すべてのホスト間で復元が行われ、ホスト間の設定が同期されます。

復元は、ホストがインスタンスを完全にリサイクルする必要がある場合にも発生する可能性があります。最新のバックアップの自動復元は、新しい EC2 インスタンスがプロビジョニングされたときに行われます。一般的に、ホストは定期的にリサイクルされず、重大な障害や必要な AMI スワップ用に予約されています。ホストのリサイクルは手動で開始され、リサイクルが発生する前に通知されます。

ファイアウォール設定バックアップを除き、特定の許可リストルールは個別にバックアップされます。バックアップは、定義された許可リストルールが変更されると自動的に作成されます。許可リストバックアップの復元は、必要に応じて AMS エンジニアが実行できます。

更新

AMS Managed Firewall Solution では、システムの改善、機能の追加、ファイアウォールオペレーティングシステム (OS) またはソフトウェアの更新を追加するために、時間の経過とともにさまざまな更新が必要です。

ほとんどの変更は、自動化インフラストラクチャの更新など、実行中の環境には影響しませんが、ファイアウォールインスタンスのローテーションや OS の更新など、その他の変更は中断を引き起こす可能性があります。更新によるサービス中断の可能性が評価されると、AMS はメンテナンスウィンドウに対応するためにお客様と調整します。

オペレーターアクセス

AMS 演算子は ActiveDirectory 認証情報を使用して Palo Alto デバイスにログインし、オペレーション (パッチ適用、イベントへの応答など) を実行します。このソリューションは、標準の AMS Operator 認証および設定変更ログを保持して、Palo Alto ホストで実行されたアクションを追跡します。

デフォルトログ

デフォルトでは、ファイアウォールによって生成されたログは、各ファイアウォールのローカルストレージにあります。時間の経過とともに、ローカルログはストレージ使用率に基づいて削除されます。AMS ソリューションは、マシンから CloudWatch Logs にログをリアルタイムで送信します。詳細については、「」を参照してくださいCloudWatch Logs の統合。

AMS エンジニアは、必要に応じてマシンから直接ログをクエリおよびエクスポートできます。さらに、ログは顧客所有の Panorama に配送できます。詳細については、「」を参照してくださいPanorama 統合。

ソリューションによって収集されたログは次のとおりです。

イベント管理

AMS は、ファイアウォールの容量、ヘルスステータス、可用性を継続的にモニタリングします。ファイアウォールから生成されたメトリクスと AWS/AMS で生成されたメトリクスは、AMS オペレーションエンジニアが受信したアラームを作成するために使用されます。アラームは、問題を調査して解決します。現在のアラームは、次のケースを対象としています。

イベントアラーム：

管理アラーム：

メトリクス

すべてのメトリクスがキャプチャされ、ネットワークアカウントの CloudWatch に保存されます。これらは、ネットワークアカウントへのコンソールアクセスを取得し、CloudWatch コンソールに移動することで表示できます。個々のメトリクスは、メトリクスタブまたは選択したメトリクスの単一ペインダッシュボードビューで表示でき、集計されたメトリクスは、ダッシュボードタブに移動して AMS-MF-PA-Egress-Dashboard を選択することで表示できます。

カスタムメトリクス：

CloudWatch Logs の統合

CloudWatch Logs 統合は、ファイアウォールから CloudWatch Logs にログを転送します。これにより、ローカルストレージの使用率が原因でログが失われるリスクを軽減できます。ログは、ファイアウォールがログを生成するとリアルタイムで入力され、コンソールまたは API を介してオンデマンドで表示できます。

複雑なクエリは、ログ分析用に構築することも、CloudWatch Insights を使用して CSV にエクスポートすることもできます。さらに、カスタム AMS Managed Firewall CloudWatch ダッシュボードには、特定のトラフィックログクエリのクイックビューと、時間の経過に伴うトラフィックとポリシーヒットのグラフ視覚化も表示されます。CloudWatch ログを使用すると、AWS Kinesis などの他の AWS サービスとのネイティブ統合も可能になります。

Panorama 統合

AMS Managed Firewall は、オプションで既存の Panorama と統合できます。これにより、Panorama からファイアウォール設定を表示したり、ファイアウォールから Panorama にログを転送したりできます。Panorama と AMS Managed Firewall の統合は読み取り専用であり、Panorama からのファイアウォールの設定変更は許可されません。Panorama は完全に管理され、ユーザーによって設定されます。AMS は、それと通信するようにファイアウォールを設定する責任のみを担います。

ライセンス

AMS Managed Firewall の料金は、使用されるライセンスのタイプ、時間単位または持ち込みライセンス (BYOL)、アプライアンスが実行されるインスタンスサイズによって異なります。AWS Marketplace を通じて希望する Palo Alto ファイアウォールのインスタンスサイズとライセンスを注文する必要があります。

制限

現時点では、AMS は VM-300 シリーズまたは VM-500 シリーズファイアウォールをサポートしています。設定は、AWS EC2 インスタンスの VM シリーズモデル、

オンボーディング要件

料金

AMS Managed Firewall の基本インフラストラクチャコストは、Palo Alto ファイアウォールをホストする EC2 インスタンス、ソフトウェアライセンス Palo Alto VM シリーズライセンス、および CloudWatch Integrations の 3 つの主要なドライバーに分かれています。

次の料金は、VM-300 シリーズファイアウォールに基づいています。