AWS Network Firewall が次世代ファイアウォールポリシー（NGFW policy）を提供開始、ファイアウォールと IPS のルール容量を分離し管理を簡素化

公式発表で確認できる事実

• AWS Network Firewall に新しいポリシーモデル「NGFW policy（次世代ファイアウォールポリシー）」が追加されました。
• 従来のポリシーモデルではファイアウォールルールと IPS ルールが同一の容量を共有していましたが、NGFW policy ではそれぞれが独立した容量を持ちます。
• ファイアウォールルールは deny-by-default のアクセス制御（例：承認済みドメインへのトラフィックのみ許可）を実施します。
• IPS ルールには AWS または AWS Marketplace パートナーが提供するマネージドルールグループを利用でき、新たな脅威に応じて自動更新されます。カスタム IPS ルールグループの作成も可能です。
• ポリシー間で共有しないルール向けに、事前割り当て不要で容量をオンデマンドで使用できる「埋め込みルールグループ」を作成できます。
• NGFW policy ではすべてのルールがステートフルで、完全な接続コンテキストで評価されます。
• 既存のポリシーは変更なしで引き続き動作し、IPS ルールは後方互換性を維持します。
• すべての商用 AWS リージョンおよび AWS GovCloud (US) リージョンで追加料金なしで利用できます。
• サポートリージョンの完全なリストは AWS Capabilities by Region ページで確認できます。

当サイトの考察

NGFW policy の最大のメリットは、ファイアウォールルールと IPS ルールの容量を分離した点です。従来のモデルでは両者が同一の容量プールを共有していたため、IPS ルールを増やすとファイアウォールルールの容量が圧迫されるというトレードオフがありました。この制約が解消されることで、大規模な環境や複雑なセキュリティ要件を持つ組織にとって特に恩恵が大きいと考えられます。

また、マネージドルールグループの自動更新は、セキュリティチームの運用負荷を軽減する重要な機能です。新たな脅威シグネチャへの対応を AWS やパートナーに委ねることで、常に最新の保護を維持できます。既存環境への影響がない後方互換性の維持も、移行リスクを最小化する設計として評価できます。

確認できていない事項

• 東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）での提供有無は資料から確認できません（「すべての商用 AWS リージョン」と記載されていますが、個別リージョンの明示はありません）。
• NGFW policy への移行手順や既存ポリシーからの変換ツールの有無は資料から確認できません。
• 埋め込みルールグループのオンデマンド容量の上限は資料から確認できません。

この記事は、AWS 公式の発表をもとに AI が作成し、自動で公開しています。