COLUMN

2025.05.28 ｜ Writer：眞鍋

AWS WAFを使用したIPアドレス制限の実装方法について解説

こんにちは、クラウドエンジニアの眞鍋です。

Webサイトやアプリケーションを運用する上で、情報セキュリティ対策は非常に重要です。不正アクセスやさまざまな攻撃からシステムを守るための一つの手段として「IPアドレス制限」があります。

この記事では、AWSが提供するWebアプリケーションファイアウォールサービスである「AWS WAF」を利用して、IPアドレスによるアクセス制限を実装する具体的な手順と、運用上の注意点やベストプラクティスについて詳しく解説します。

1. AWS WAFの概要
2. IPアドレス制限とは: 2-1. IPアドレス制限の概要; 2-2. IPアドレス制限のユースケース; 2-3. IPアドレス制限による情報セキュリティ対策効果
3. AWS WAFでIPアドレス制限を運用する上での注意点とベストプラクティス: 3-1. IPアドレスリストの管理; 3-2. 誤検知への対応; 3-3. 他のルールとの組み合わせ
4. AWS WAFによるIPアドレス制限の実装手順: 4-1. 事前準備; 4-2. IPセットの作成; 4-3. Web ACLの作成; 4-4. ルールの作成とIPセットの関連付け; 4-5. 動作確認
5. まとめ

AWS WAF（Web Application Firewall）は、Webリクエストを監視し、設定されたルールに基づいてトラフィックを許可またはブロックするサービスです。

SQLインジェクションやクロスサイトスクリプティング（XSS）といった一般的なWeb攻撃からアプリケーションを保護するのに役立ちます。

AWS WAFの主な特徴とメリット

柔軟なルール設定
IPアドレス、HTTPヘッダーなどを条件としたカスタムルールを作成できます。
マネージドルール
AWSが提供する事前定義済みのルールセットを利用することで、最新の脅威に迅速に対応できます。
AWSサービスとの連携
Amazon CloudFront、Application Load Balancer (ALB)などのAWSサービスとの統合が容易に行えます。

IPアドレス制限は、このAWS WAFの多様な機能の一つとして提供されています。

IPアドレス制限とは、IPアドレスに基づいて、特定の送信元からのWebアクセスを制限するセキュリティ対策です。

これにより、意図しないアクセスや悪意のあるアクセスを入口でブロックすることが可能になります。

IPアドレス制限は、さまざまなシナリオで有効です。

既知の不正IPアドレスのブロック
攻撃者やスパムボットが使用することが確認されているIPアドレスからのアクセスを拒否する。
特定の国や地域からのアクセス制限
自社のサービス提供対象外の国や、攻撃トラフィックが多い特定の地域からのアクセスをまとめて遮断する。
社内システムや開発環境へのアクセス制御
オフィスの固定IPアドレスや特定のVPN経由のIPアドレスからのみ、社内システムや開発・ステージング環境へのアクセスを許可する。

IPアドレス制限を適切に実施することで、以下のような情報セキュリティ対策効果が期待できます。

総当たり攻撃や辞書攻撃の緩和
これらの攻撃は特定のIPアドレスから集中的に行われることがあるため、不審なIPを早期にブロックすることで被害を防ぎます。
ボットによる不正行為の軽減
悪意のあるボットによるコンテンツの不正なスクレイピングやスパムコメント投稿などを、ボットが利用するIPアドレスをブロックすることで抑制します。
コンプライアンス要件への対応
特定地域からのアクセスを制限することが、データ保護規制などのコンプライアンス要件の一部となる場合があります。

AWS WAFでIPアドレス制限を効果的に運用するためには、いくつかの注意点とベストプラクティスがあります。

IPアドレスリストの最新化
IPアドレスは常に変動する可能性があります。IPアドレスリストは定期的に見直し、最新の状態に保つことが重要です。
変更管理:
IPアドレスリストを変更する際は、誰が、いつ、どのような理由で変更したのかを記録・管理するプロセスを確立することで意図しない変更によるアクセス障害を防ぎます。
明確な命名規則
複数のIPセットを管理する場合、目的や内容がわかる明確な名前を付けましょう。

Countモードの活用
新しいIPアドレス制限ルールを適用する際、いきなり「Block」アクションを設定すると、正規のユーザーまでブロックしてしまう（誤検知）リスクがあります。まずは「Count」アクションでルールを設定し、どのようなリクエストが該当するかをWAFのログやメトリクスで確認しましょう。
ログ分析
AWS WAFはサンプリングされたリクエストのログや、設定によってAmazon Data Firehose経由で全リクエストログをAmazon S3などに保存できます。誤検知が疑われる場合は、これらのログを分析して原因を特定し、ルールを調整します。
エスカレーションフローの確立
ユーザーから「アクセスできない」という問い合わせがあった場合に、迅速に対応できる体制を整えておきましょう。

ルールの評価順序
Web ACL内では、ルールは優先度順に評価されます。IPアドレス制限をどの段階で評価するかは重要です。優先度設定に誤りがあれば、正規のアクセスを遮断したり、不正アクセスを許可してしまうといったケースも起こりえます。
マネージドルールの活用
AWSが提供するマネージドルールセットや、マーケットプレイスで購入できるサードパーティ製のルールセットには、さまざまなアプリケーションに応じた最適なルールが含まれています。基本的にはこれらを活用しつつ、自社独自のルールを補完的に使用するのが効果的です。