Route 53 Resolver DNS Firewall の使用を開始する

PDF

RSS

フォーカスモード

Route 53 Resolver DNS Firewall の使用を開始する - Amazon Route 53

Route 53 Resolver DNS ファイアウォールのウォールドガーデンの例 (walled garden)Route 53 Resolver DNS ファイアウォールブロックリストの例

DNS Firewall コンソールには、DNS Firewall の開始方法を次の手順で説明するウィザードが含まれています。

使用するルールセットごとにルールグループを作成します。
ルールごとに、調査するドメインリストを設定します。独自のドメインリストを作成し、 AWS マネージドドメインリストを使用できます。
使用する VPC にルールグループを関連付けます。

Route 53 Resolver DNS ファイアウォールのウォールドガーデンの例 (walled garden)

このチュートリアルでは、信頼できるドメインのうち選択されたグループを除くすべてのドメインをブロックするルールグループを作成します。これは、クローズドプラットフォーム、またはウォールドガーデンアプローチと呼ばれます。

コンソールウィザードを使用して DNS Firewall ルールグループを設定するには

にサインイン AWS Management Console し、https://console.aws.amazon.com/route53/ で Route 53 コンソールを開きます。

ナビゲーションペインで、[DNS ファイアウォール] を選択し、Amazon VPC コンソールの [ルールグループ] ページで DNS ファイアウォールを開きます。ステップ 3 に進みます。

- または -

にサインイン AWS Management Console してを開く

https://console.aws.amazon.com/vpc/ から、Amazon VPC コンソールを開きます。
ナビゲーションペインで、[DNS ファイアウォール] の下にある [ルールグループ] を選択します。
ナビゲーションバーで、ルールグループのリージョンを選択します。
　[ルールグループ] ページで、[ルールグループの追加] を選択します。
ルールグループ名に「WalledGardenExample」と入力します。

[タグ] セクションで、タグのキーと値のペアをオプションで入力できます。タグは、 AWS リソースの整理と管理に役立ちます。詳細については、「Amazon Route 53 リソースのタグ付け」を参照してください。
[ルールグループを追加] を選択します。
WalledGardenExample の詳細ページで、[ルール] タブ、[ルールを追加] の順に選択します。
[ルールの詳細] ペインで、ルール名に「BlockAll」と入力します。
[Domain list (ドメインリスト)] ペインで、[Add my own domain list (独自のドメインリストを追加) ] を選択します。
　[Choose or create a new domain list (新しいドメインリストを選択または作成) )]で [Create new domain list (新しいドメインリストの作成)]を選択します。
ドメインリスト名に「AllDomains」と入力し、[1 行につき 1 つのドメインを入力] テキストボックスにアスタリスク (*) を入力します。
[ドメインリダイレクト設定] では、デフォルトを受け入れ、[クエリの種類-オプション] は空のままにします。
[アクション] については、[BLOCK] を選択し、送信するレスポンスをデフォルト設定の [NODATA] のままにしておきます。
[ルールを追加] を選択してください。ルール [BlockAll] は、[WalledGardenExample] ページの [ルール] タブに表示されます。
[WalledGardenExample] ページで、[ルールを追加] を選択して、ルールグループに 2 番目のルールを追加します。
[ルールの詳細] ペインで、ルール名に「AllowSelectDomains」と入力します。
[Domain list (ドメインリスト)] ペインで、[Add my own domain list (独自のドメインリストを追加) ] を選択します。
[Choose or create a new domain list (新しいドメインリストの選択または作成)]で、[Create new domain list (新しいドメインリストの作成)]を選択します。
ドメインリスト名に「ExampleDomains」と入力します。
[1 行につき 1 つのドメインを入力] テキストボックスの最初の行に「example.com」、2 行目に「example.org」と入力します。

注記
ルールをサブドメインにも適用する場合は、それらのドメインもリストに追加する必要があります。例えば、example.com のすべてのサブドメインを追加するには、*.example.com をリストに追加します。
[ドメインリダイレクト設定] では、デフォルトを受け入れ、[クエリの種類-オプション] は空のままにします。
[アクション] については、[ALLOW] を選択します。
[Add rule] を選択してください。ルールは両方とも、[WalledGardenExample] ページの [ルール] タブに表示されます。
[WalledGardenExample] ページの [ルール] タブで、[優先度] 列にリストされている番号を選択し、新しい番号を入力して、ルールグループ内のルールの評価順序を調整できます。DNS ファイアウォールは、最も優先度が低い設定から順にルールを評価するため、最も優先度が低いルールが最初に評価されます。この例では、最初に DNS Firewall でドメインの選択リストの DNS クエリを特定して許可し、残りのクエリをすべてブロックします。

[AllowSelectDomains] の優先度が低くなるようにルールの優先度を調整します。

これで、特定のドメインクエリのみを許可するルールグループができました。使用を開始するには、フィルタリング動作を使用する VPC にルールグループを関連付けます。詳細については、「VPC と Route 53 Resolver DNS Firewall ルールグループ間の関連付けの管理」を参照してください。

Route 53 Resolver DNS ファイアウォールブロックリストの例

このチュートリアルでは、悪意があることが判明しているドメインをブロックするルールグループを作成します。ブロックされたリストのドメインに許可される DNS クエリタイプも追加します。このルールグループは、これ以外のアウトバウンド DNS リクエストはすべて許可します (Route 53 Resolver 経由)。

コンソールウィザードを使用して DNS ファイアウォールブロックリストを設定するには

にサインイン AWS Management Console し、https://console.aws.amazon.com/route53/ で Route 53 コンソールを開きます。

ナビゲーションペインで、[DNS ファイアウォール] を選択し、Amazon VPC コンソールの [ルールグループ] ページで DNS ファイアウォールを開きます。ステップ 3 に進みます。

- または -

にサインイン AWS Management Console し、https://console.aws.amazon.com/vpc/ で Amazon VPC コンソールを開きます。
ナビゲーションペインで、[DNS ファイアウォール] の下にある [ルールグループ] を選択します。
ナビゲーションバーで、ルールグループのリージョンを選択します。
　[ルールグループ] ページで、[ルールグループの追加] を選択します。
ルールグループ名に「BlockListExample」と入力します。

[タグ] セクションで、タグのキーと値のペアをオプションで入力できます。タグは、 AWS リソースの整理と管理に役立ちます。詳細については、「Amazon Route 53 リソースのタグ付け」を参照してください。
[BlockListExample] の詳細ページで、[ルール] タブ、[ルールを追加] の順に選択します。
[ルールの詳細] ペインで、ルール名に「BlockList」と入力します。
[Domain list (ドメインリスト)] ペインで、[Add my own domain list (独自のドメインリストを追加) ] を選択します。
[Choose or create a new domain list (新しいドメインリストの選択または作成)]で、[Create new domain list (新しいドメインリストの作成)] を選択します。
ドメインリスト名 MaliciousDomains を入力し、次にテキストボックスにブロックするドメインを入力します。例えば、example.org と指定します。1 行に 1 つドメインを入力します。
注記
ルールをサブドメインにも適用する場合は、それらのドメインもリストに追加する必要があります。例えば、example.org のすべてのサブドメインを追加するには、*.example.org をリストに追加します。
[ドメインリダイレクト設定] では、デフォルトを受け入れ、[クエリの種類-オプション] は空のままにします。
アクションについては、BLOCK を選択し、送信するレスポンスをデフォルト設定の NODATAのままにしておきます。
[ルールを追加] を選択してください。ルールは [BlockListExample] ページの [ルール] タブに表示されます。
[BlockedListExample] ページの [ルール] タブで、[優先度] 列にリストされている番号を選択し、新しい番号を入力して、ルールグループ内のルールの評価順序を調整できます。DNS ファイアウォールは、最も優先度が低い設定から順にルールを評価するため、最も優先度が低いルールが最初に評価されます。

ルールの優先度を選択して、[ブロックリスト] の他のルールの前または後に評価されるようルールの優先度を調整します。ほとんどの場合、既知の悪意のあるドメインを最初にブロックしてください。つまり、これらに関連付けられているルールは、最も小さい優先順位番号にする必要があります。
ブロックリストドメインの MX レコードを許可するルールを追加するには、[ルール] タブの [BlockedListExample] の詳細ページで、[ルールを追加] を選択します。
[ルールの詳細] ペインで、ルール名に「BlockList-allowMX」と入力します。
[Domain list (ドメインリスト)] ペインで、[Add my own domain list (独自のドメインリストを追加) ] を選択します。
[新しいドメインリストを選択または作成] で、[MaliciousDomains] を選択します。
[ドメインリダイレクト設定] では、デフォルトを受け入れます。
[DNS クエリタイプ] リストで、[MX: メールサーバーを指定する] を選択します。
アクションについては、[ALLOW] を選択します。
[Add rule] を選択してください。
[BlockedListExample] ページの [ルール] タブで、[優先度] 列にリストされている番号を選択し、新しい番号を入力して、ルールグループ内のルールの評価順序を調整できます。DNS ファイアウォールは、最も優先度が低い設定から順にルールを評価するため、最も優先度が低いルールが最初に評価されます。

ルールの優先度を選択して、[BlockList-allowMX] は、他のルールの前または後に評価されるようルールの優先度を調整します。MX クエリを許可するため、[BlockList -allowMX] ルールが [ブラックリスト] よりも優先度が低いことを確認してください。

これで、特定の悪意のあるドメインクエリをブロックするルールグループができましたが、特定の DNS クエリタイプが許可されます。使用を開始するには、フィルタリング動作を使用する VPC にルールグループを関連付けます。詳細については、「VPC と Route 53 Resolver DNS Firewall ルールグループ間の関連付けの管理」を参照してください。