Last updated
AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)
AWS Firewall Managerは、AWS WAF、AWS Shield Advanced、Amazon VPCセキュリティグループおよびネットワークアクセス制御リスト（ACL）、AWSネットワークファイアウォール、AWS Route 53 Resolver DNSファイアウォール、サードパーティファイアウォールの管理と保守を簡素化します。これにより、ファイアウォールルール、Shield Advanced保護、VPCセキュリティグループ、ネットワークファイアウォール設定を一度だけ構成でき、サービスがこれらのルールと保護をアカウントやリソース全体に自動的に適用します。新たに追加されたリソースも含まれます。
このサービスは、共通のタグを共有するリソースやすべてのCloudFrontディストリビューションなど、特定のリソースをグループ化して保護する機能を提供します。Firewall Managerの大きな利点は、新たに追加されたリソースに自動的に保護を拡張できることです。
ルールグループ（WAFルールのコレクション）は、AWS Firewall Managerポリシーに組み込むことができ、特定のAWSリソース（CloudFrontディストリビューションやアプリケーションロードバランサーなど）にリンクされます。
AWS Firewall Managerは、セキュリティグループポリシーの構成と管理を簡素化するために、管理されたアプリケーションおよびプロトコルリストを提供します。これらのリストを使用して、ポリシーによって許可または拒否されるプロトコルとアプリケーションを定義できます。管理されたリストには2種類があります：
Firewall Manager管理リスト：これらのリストには、FMS-Default-Public-Access-Apps-Allowed、FMS-Default-Protocols-Allowed、およびFMS-Default-Protocols-Allowedが含まれます。これらはFirewall Managerによって管理され、一般の人々に許可または拒否されるべき一般的に使用されるアプリケーションとプロトコルが含まれています。これらを編集または削除することはできませんが、バージョンを選択することはできます。
カスタム管理リスト：これらのリストは自分で管理します。組織のニーズに合わせたカスタムアプリケーションおよびプロトコルリストを作成できます。Firewall Manager管理リストとは異なり、これらのリストにはバージョンがありませんが、カスタムリストに対して完全な制御があり、必要に応じて作成、編集、削除できます。
Firewall Managerポリシーは、ルールグループに対して「ブロック」または「カウント」アクションのみを許可し、「許可」オプションはありません。
Firewall Managerを構成して組織のリソースを効果的に保護するために、以下の前提条件を完了する必要があります。これらのステップは、Firewall Managerがセキュリティポリシーを適用し、AWS環境全体でコンプライアンスを確保するために必要な基盤設定を提供します：
AWS Organizationsに参加し、設定する：AWSアカウントがAWS Firewall Managerポリシーが実装される予定のAWS Organizations組織の一部であることを確認します。これにより、組織内の複数のAWSアカウントにわたるリソースとポリシーの集中管理が可能になります。
AWS Firewall Managerデフォルト管理者アカウントを作成する：Firewall Managerセキュリティポリシーを管理するためのデフォルト管理者アカウントを作成します。このアカウントは、組織全体でセキュリティポリシーを構成し、適用する責任があります。組織の管理アカウントのみがFirewall Managerデフォルト管理者アカウントを作成できます。
AWS Configを有効にする：AWS Configを有効にして、Firewall Managerにセキュリティポリシーを効果的に適用するために必要な構成データと洞察を提供します。AWS Configは、リソースの構成と変更を分析、監査、監視し、より良いセキュリティ管理を促進します。
サードパーティポリシーの場合、AWS Marketplaceでサブスクリプションし、サードパーティ設定を構成する：サードパーティファイアウォールポリシーを利用する予定がある場合、AWS Marketplaceでそれらにサブスクリプションし、必要な設定を構成します。このステップにより、Firewall Managerが信頼できるサードパーティベンダーのポリシーを統合し、適用できるようになります。
ネットワークファイアウォールおよびDNSファイアウォールポリシーの場合、リソース共有を有効にする：ネットワークファイアウォールおよびDNSファイアウォールポリシーのためにリソース共有を有効にします。これにより、Firewall Managerが組織のVPCおよびDNS解決にファイアウォール保護を適用でき、ネットワークセキュリティが向上します。
デフォルトで無効になっているリージョンでAWS Firewall Managerを使用するために：デフォルトで無効になっているAWSリージョンでFirewall Managerを使用する予定がある場合、そのリージョンでの機能を有効にするために必要な手順を実行してください。これにより、組織が運営するすべてのリージョンで一貫したセキュリティの適用が確保されます。
詳細については、AWS Firewall Manager AWS WAFポリシーの開始方法を確認してください。
AWS Firewall Managerは、組織のインフラストラクチャのさまざまな側面にわたってセキュリティコントロールを適用するために、いくつかの種類のポリシーを管理します：
AWS WAFポリシー：このポリシータイプは、AWS WAFおよびAWS WAF Classicの両方をサポートします。ポリシーによって保護されるリソースを定義できます。AWS WAFポリシーの場合、Web ACL内で最初と最後に実行するルールグループのセットを指定できます。さらに、アカウント所有者は、これらのセットの間で実行するルールおよびルールグループを追加できます。
Shield Advancedポリシー：このポリシーは、指定されたリソースタイプに対して組織全体でShield Advanced保護を適用します。DDoS攻撃やその他の脅威から保護するのに役立ちます。
Amazon VPCセキュリティグループポリシー：このポリシーを使用すると、組織全体で使用されるセキュリティグループを管理し、AWS環境全体でネットワークアクセスを制御するための基本的なルールセットを適用できます。
Amazon VPCネットワークアクセス制御リスト（ACL）ポリシー：このポリシータイプは、組織で使用されるネットワークACLを制御できるようにし、AWS環境全体で基本的なネットワークACLセットを適用できます。
ネットワークファイアウォールポリシー：このポリシーは、組織のVPCにAWSネットワークファイアウォール保護を適用し、事前定義されたルールに基づいてトラフィックをフィルタリングすることでネットワークセキュリティを強化します。
Amazon Route 53 Resolver DNSファイアウォールポリシー：このポリシーは、組織のVPCにDNSファイアウォール保護を適用し、悪意のあるドメイン解決試行をブロックし、DNSトラフィックのセキュリティポリシーを適用するのに役立ちます。
サードパーティファイアウォールポリシー：このポリシータイプは、AWS Marketplaceコンソールを通じてサブスクリプション可能なサードパーティファイアウォールからの保護を適用します。信頼できるベンダーからの追加のセキュリティ対策をAWS環境に統合できます。
Palo Alto Networks Cloud NGFWポリシー：このポリシーは、Palo Alto Networks Cloud Next Generation Firewall（NGFW）保護およびルールスタックを組織のVPCに適用し、高度な脅威防止およびアプリケーションレベルのセキュリティコントロールを提供します。
Fortigate Cloud Native Firewall（CNF）as a Serviceポリシー：このポリシーは、Fortigate Cloud Native Firewall（CNF）as a Service保護を適用し、クラウドインフラストラクチャ向けに業界をリードする脅威防止、Webアプリケーションファイアウォール（WAF）、およびAPI保護を提供します。
AWS Firewall Managerは、管理スコープと2種類の管理者アカウントを通じて、組織内のファイアウォールリソースの管理に柔軟性を提供します。
管理スコープは、Firewall Manager管理者が管理できるリソースを定義します。AWS Organizations管理アカウントが組織をFirewall Managerにオンボードした後、異なる管理スコープを持つ追加の管理者を作成できます。これらのスコープには以下が含まれます：
管理者がポリシーを適用できるアカウントまたは組織単位（OU）。
管理者がアクションを実行できるリージョン。
管理者が管理できるFirewall Managerポリシータイプ。
管理スコープはフルまたは制限付きのいずれかです。フルスコープは、管理者にすべての指定されたリソースタイプ、リージョン、およびポリシータイプへのアクセスを付与します。一方、制限付きスコープは、リソース、リージョン、またはポリシータイプのサブセットに対してのみ管理権限を提供します。管理者には、役割を効果的に果たすために必要な権限のみを付与することが推奨されます。これらの管理スコープ条件の任意の組み合わせを管理者に適用し、最小権限の原則を遵守できます。
2種類の異なる管理者アカウントがあり、それぞれ特定の役割と責任を果たします：
デフォルト管理者：
デフォルト管理者アカウントは、AWS Organizations組織の管理アカウントによってFirewall Managerへのオンボーディングプロセス中に作成されます。
このアカウントは、サードパーティファイアウォールを管理する能力を持ち、フル管理スコープを持っています。
組織全体でセキュリティポリシーを構成し、適用するための主要な管理者アカウントとして機能します。
デフォルト管理者はすべてのリソースタイプおよび管理機能にフルアクセスを持っていますが、組織内で複数の管理者が利用されている場合、他の管理者と同じピアレベルで操作します。
Firewall Manager管理者：
これらの管理者は、AWS Organizations管理アカウントによって指定されたスコープ内でリソースを管理できます。
Firewall Manager管理者は、組織内で特定の役割を果たすために作成され、責任の委任を可能にしながらセキュリティとコンプライアンス基準を維持します。
作成時に、Firewall ManagerはAWS Organizationsに確認して、アカウントがすでに委任された管理者であるかどうかを判断します。そうでない場合、Firewall ManagerはOrganizationsに呼び出して、アカウントをFirewall Managerの委任された管理者として指定します。
これらの管理者アカウントの管理には、Firewall Manager内での作成と、組織のセキュリティ要件および最小権限の原則に従った管理スコープの定義が含まれます。適切な管理役割を割り当てることで、組織は効果的なセキュリティ管理を確保しながら、機密リソースへのアクセスを細かく制御できます。
組織内でFirewall Managerデフォルト管理者として機能できるのは1つのアカウントのみであり、「最初に入ったものが最後に出る」の原則に従います。新しいデフォルト管理者を指定するには、一連の手順を実行する必要があります：
まず、各Firewall Administrator管理者アカウントは、自分のアカウントを取り消す必要があります。
次に、既存のデフォルト管理者は自分のアカウントを取り消すことができ、これにより組織がFirewall Managerからオフボードされます。このプロセスにより、取り消されたアカウントによって作成されたすべてのFirewall Managerポリシーが削除されます。
最後に、AWS Organizations管理アカウントがFirewall Managerデフォルト管理者を指定する必要があります。
organizations:DescribeOrganization & (fms:AssociateAdminAccount, fms:DisassociateAdminAccount, fms:PutAdminAccount)fms:AssociateAdminAccount 権限を持つ攻撃者は、Firewall Manager のデフォルト管理者アカウントを設定することができます。fms:PutAdminAccount 権限を持つ攻撃者は、Firewall Manager 管理者アカウントを作成または更新することができ、fms:DisassociateAdminAccount 権限を持つ潜在的な攻撃者は、現在の Firewall Manager 管理者アカウントの関連付けを削除することができます。
Firewall Manager のデフォルト管理者の非関連付けは、先入れ先出しポリシーに従います。すべての Firewall Manager 管理者は、Firewall Manager のデフォルト管理者がアカウントを非関連付ける前に非関連付けを行う必要があります。
PutAdminAccount によって Firewall Manager 管理者を作成するには、アカウントは以前に AssociateAdminAccount を使用して Firewall Manager にオンボードされた組織に属している必要があります。
Firewall Manager 管理者アカウントの作成は、組織の管理アカウントによってのみ行うことができます。
潜在的な影響: 中央管理の喪失、ポリシーの回避、コンプライアンス違反、および環境内のセキュリティコントロールの中断。
fms:PutPolicy, fms:DeletePolicyfms:PutPolicy、fms:DeletePolicy の権限を持つ攻撃者は、AWS Firewall Managerポリシーを作成、変更、または永久に削除することができます。
許可されたセキュリティグループを通じて許可されたポリシーの例は、検出を回避するために次のようになります：
潜在的な影響: セキュリティコントロールの解体、ポリシーの回避、コンプライアンス違反、運用の中断、及び環境内での潜在的なデータ漏洩。
fms:BatchAssociateResource, fms:BatchDisassociateResource, fms:PutResourceSet, fms:DeleteResourceSetfms:BatchAssociateResource および fms:BatchDisassociateResource 権限を持つ攻撃者は、それぞれファイアウォールマネージャーのリソースセットからリソースを関連付けたり、関連付けを解除したりすることができます。さらに、fms:PutResourceSet および fms:DeleteResourceSet 権限により、攻撃者はAWS Firewall Managerからこれらのリソースセットを作成、変更、または削除することが可能になります。
潜在的な影響: リソースセットに不必要なアイテムを追加すると、サービス内のノイズレベルが増加し、DoSを引き起こす可能性があります。さらに、リソースセットの変更は、リソースの中断、ポリシーの回避、コンプライアンス違反、環境内のセキュリティ制御の中断を引き起こす可能性があります。
fms:PutAppsList, fms:DeleteAppsListfms:PutAppsList および fms:DeleteAppsList 権限を持つ攻撃者は、AWS Firewall Managerからアプリケーションリストを作成、変更、または削除することができます。これは重要であり、無許可のアプリケーションが一般公開される可能性がある一方で、許可されたアプリケーションへのアクセスが拒否され、DoSを引き起こす可能性があります。
潜在的な影響: これにより、誤設定、ポリシー回避、コンプライアンス違反、環境内のセキュリティ制御の中断が発生する可能性があります。
fms:PutProtocolsList, fms:DeleteProtocolsListfms:PutProtocolsList および fms:DeleteProtocolsList 権限を持つ攻撃者は、AWS Firewall Managerからプロトコルリストを作成、変更、または削除することができます。アプリケーションリストと同様に、これは重要である可能性があります。なぜなら、無許可のプロトコルが一般の人々によって使用される可能性があるか、または許可されたプロトコルの使用が拒否され、DoSを引き起こす可能性があるからです。
潜在的な影響: これにより、設定ミス、ポリシー回避、コンプライアンス違反、環境内のセキュリティコントロールの中断が発生する可能性があります。
fms:PutNotificationChannel, fms:DeleteNotificationChannelfms:PutNotificationChannel および fms:DeleteNotificationChannel の権限を持つ攻撃者は、Firewall ManagerがSNSログを記録するために使用するIAMロールとAmazon Simple Notification Service (SNS)トピックを削除および指定することができます。
fms:PutNotificationChannel をコンソールの外で使用するには、指定された SnsRoleName がSNSログを公開できるようにSNSトピックのアクセスポリシーを設定する必要があります。提供された SnsRoleName が AWSServiceRoleForFMS 以外のロールである場合、Firewall Managerサービスプリンシパル fms.amazonaws.com がこのロールを引き受けることを許可する信頼関係が構成されている必要があります。
SNSアクセスポリシーの設定に関する情報:
https://github.com/HackTricks-wiki/hacktricks-cloud/blob/jp/pentesting-cloud/aws-security/aws-services/aws-services/aws-sns-enum.md潜在的な影響: これにより、セキュリティアラートの見逃し、インシデント対応の遅延、データ漏洩の可能性、環境内での運用の中断が引き起こされる可能性があります。
fms:AssociateThirdPartyFirewall, fms:DisssociateThirdPartyFirewallfms:AssociateThirdPartyFirewall、fms:DisssociateThirdPartyFirewall の権限を持つ攻撃者は、AWS Firewall Managerを通じて中央管理されるサードパーティファイアウォールを関連付けたり、関連付けを解除したりすることができます。
デフォルトの管理者のみがサードパーティファイアウォールを作成および管理できます。
潜在的な影響: 切断はポリシーの回避、コンプライアンス違反、環境内のセキュリティコントロールの混乱を引き起こすことになります。一方、関連付けはコストと予算の配分の混乱を引き起こすことになります。
fms:TagResource, fms:UntagResource攻撃者はFirewall Managerリソースからタグを追加、変更、または削除することができ、組織のコスト配分、リソース追跡、およびタグに基づくアクセス制御ポリシーを混乱させることになります。
潜在的影響: コスト配分、リソース追跡、およびタグベースのアクセス制御ポリシーの混乱。
AWSハッキングを学び、実践する:HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する: HackTricks Training GCP Red Team Expert (GRTE)
