第6章 · ネットワークのセキュリティ・コンプライアンス・ガバナンス·v2.0.0·更新 2026/7/16·読了目安 約11分
変更要約: ANS-C01 第6章を深掘り（SG/NACL評価順序・SG参照/エフェメラル・検査VPCルーティング/アプライアンスモード/各FWの守備範囲・Shield Adv/WAF Web ACL/Firewall Mgr前提/ACMリージョン＋比較表・シナリオ・FAQ・ひっかけ、図ja化）
6.1多層防御とトラフィック制御
この節の要点
層で守る——セキュリティグループ（ステートフル）、NACL（ステートレス）、多層防御、最小権限のネットワーク——を理解します。各層で重ねて守ります。
ネットワークセキュリティは多層防御が基本です。エッジ・サブネット・インスタンス・アプリ/データの各層で重ねて守り、1 つが破られても次の層で食い止めます。
6.1.1防御の層
- セキュリティグループ：インスタンス（ENI）単位・ステートフル。許可ルールのみ（拒否は書けない）。
- NACL：サブネット単位・ステートレス。許可と拒否を書け、粗い境界制御に向く。
- 多層防御：エッジ（WAF/Shield）→サブネット（NACL）→インスタンス（SG）→データ（暗号化）を重ねる。
- 最小権限：必要な送信元/ポートだけを許可し、広い 0.0.0.0/0 許可は避ける。
試験ポイント
「SG＝インスタンス単位・ステートフル・許可のみ」「NACL＝サブネット単位・ステートレス・許可/拒否可」「特定 IP をブロック＝NACL（SG は拒否ルールを書けない）」 は ANS-C01 で頻出です。「ある IP だけ遮断したい」は NACL の出番です。