AWS Network Firewallにおけるサブネット変更保護を有効化について

2025.08.15

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、AWS CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、AWS Network Firewallのサブネット変更保護を有効にすることの重要性について、リスクと対策を解説します。

問題の概要

AWS Network Firewallは、VPC境界でのステートフルなトラフィック検査とフィルタリングを提供するマネージドファイアウォールサービスです。サブネット変更保護は、ファイアウォールエンドポイントが関連付けられているサブネットが誤って削除されることを防ぐ重要なセキュリティ機能です。

Network Firewallの主要なコンポーネント：

サブネット変更保護は、これらのコンポーネントが依存するネットワーク基盤を保護し、セキュリティ境界の継続的な運用を保証します。

AWSのコンソールを使用して、Network Firewallのサブネット変更保護を有効にします。

Subnet change protectionセクションで：
- 「Enable subnet change protection」のチェックボックスをオンにします
- この設定により、ファイアウォールエンドポイントが関連付けられているサブネットの削除が防止されます
重要な考慮事項:
- この保護を有効にすると、サブネットを削除する前にファイアウォールの設定変更が必要になります
- 計画的なメンテナンス時には一時的に無効化が必要な場合があります

Network Firewallのサブネット変更保護を有効にするTerraformの変更箇所です。

subnet_change_protection を true にすることで削除保護が有効化されます。

# Network Firewall本体の設定
resource "aws_networkfirewall_firewall" "main" {
  >>>> Skip
  # サブネット変更保護を有効化（重要）
  subnet_change_protection = true
}

AWS Network Firewallのサブネット変更保護を有効にすることで、ネットワークセキュリティ境界の継続的な運用を保証し、ビジネスクリティカルなシステムを保護できます。

主なポイント：

特に、ゼロトラストアーキテクチャの中核となるNetwork Firewallでは、この設定は必須のセキュリティコントロールです。

この問題の検出は弊社が提供するSecurifyのCSPM機能で簡単に検出及び管理する事が可能です。運用が非常に楽に出来る製品になっていますので、ぜひ興味がある方はお問い合わせお待ちしております。

最後までお読みいただきありがとうございました。この記事が皆さんの役に立てば幸いです。

貴社の利用状況に合わせた見積もりを作成します。