1.3VPC とネットワークセキュリティ

VPC は AWS 内のプライベートネットワークです。公開サブネット（インターネット向け）と非公開サブネット（DB 等） を分け、適切に通信を制御することが安全な設計の基本です。

1.3.1セキュリティグループとネットワーク ACL

• セキュリティグループ：インスタンス（ENI）レベル。ステートフル（戻り通信を自動許可）で、許可ルールのみ。
• ネットワーク ACL（NACL）：サブネットレベル。ステートレス（戻りも明示許可が必要）で、許可と拒否の両方を設定できる。
• 外部接続：インターネットゲートウェイ（IGW）＝公開サブネットの出入口、NAT ゲートウェイ＝非公開サブネットからの外向き通信のみ許可。
• WAF（L7 アプリ保護）／Shield（DDoS 保護）／VPC エンドポイント（AWS サービスへ AWS 内部経由で接続）で防御を重ねる。

VPC 設計の定石は、インターネットに面する層（ALB や踏み台）は公開サブネット、アプリや DB は非公開サブネットに置き、層ごとにセキュリティグループで通信を絞ることです。非公開サブネットのインスタンスがパッチ取得などで外部へ出る必要があるときは、NAT ゲートウェイを経由させます（外からは入れない）。セキュリティグループと NACL は多層防御として併用しますが、細かな制御は基本セキュリティグループで行い、NACL はサブネット全体の粗い遮断（特定 IP の拒否など）に使います。さらに S3 や DynamoDB へは VPC エンドポイントでインターネットを経由せず安全・低コストに接続できます。

1.3.2その他の主要 in-scope サービス（脅威検出・ネットワーク防御・コンプライアンス）

ネットワーク制御に加え、脅威の検出と調査のマネージドサービス群を押さえます。Amazon GuardDuty はログを分析して悪意ある挙動や異常を継続検出する脅威検知（有効化するだけで運用）。Amazon Inspector はEC2/コンテナ/Lambda の脆弱性を自動スキャン。Amazon Macie はS3 内の個人情報など機微データを検出/分類。Amazon Detective は検出結果の根本原因をログ相関で調査。複数の検出結果を一元的に集約・優先度付けするのが AWS Security Hub です。ネットワーク防御では、AWS Network Firewall がVPC のステートフルなマネージドファイアウォールを提供し、AWS Firewall Manager が組織全体のファイアウォール規則（WAF/Network Firewall/セキュリティグループ）を一元管理します。

コンプライアンスの証跡では、AWS Artifact がAWS のコンプライアンス報告書（SOC/ISO など）をオンデマンドで取得でき、監査人へ提出する第三者証明が要るときに使います。AWS Audit Manager は統制への準拠状況の証跡収集を自動化し、監査レポートの作成負荷を下げたいときに選びます。

1.3.3この節のまとめ

• 公開/非公開サブネットで分離、DB は非公開。外向きはNAT、出入口はIGW
• セキュリティグループ（インスタンス/ステートフル/許可のみ）／NACL（サブネット/ステートレス/許可・拒否）
• AWS サービスへはVPC エンドポイント、L7 は WAF、DDoS は Shield