●AWS セキュリティグループ
AWSセキュリティグループは、ＥＣ２などに適用するファイヤーウォール機能。
デフォルトは、ＩＮは、拒否。ＯＵＴは許可。
ＩＮを開けることで通信が可能となる。
設定後、すぐに適用される。
Yamaha Routerと同じ（笑）。
ステートフルな制御が可能であり、戻りの通信も自動的に許可される。
グループ定義が可能ですので、用途により、まとめておくと、いいのかと。
●AWS ネットワークＡＣＬ
AWSネットワークＡＣＬは、ＶＰＣに適用するファイヤーウォール機能。
デフォルトでは、Inbounde Rules / Outbound Rulesとも、「許可」となっています。
最も低い番号から順番に適用される。
１番と１０番が相反する設定の場合、１番が適用されて、１０番は無視される形になります。
ステートフルな制御はできないので、戻りの通信も考慮しなければいけません。
そのため、「一時ポート」「エフェメラルポート」をきちんと設定しないといけません。
https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/vpc-network-acls.html#nacl-ephemeral-ports
利用するＯＳにより異なりますので、最大公約数的に設定することになるかと思います。
●AWS セキュリティグループとネットワークＡＣＬの使い分け
セキュリティグループ、ネットワークＡＣＬ、どちらかが拒否だと（片方が許可でも）、全体としては拒否となる。
例えば、ネットワークＡＣＬでは、ＳＳＨを許可しておいて、ＳＧで、不許可にする。
なにか、非常事態になった場合、ＳＧで、該当ＥＣ２だけ、ＳＳＨをオープンする。
というような運用も一つの手かと思います。
●ポート変更（セキュリティ対策）
一般的なセキュリティ対策ですが、よく知られているデフォルトのポートは、運用に支障がなければ、変更するのがいいのかと思います。
RDPの3389番
SSHの22番
ポートは変更しても、念のため、
・パスワードの複雑化
・administrator権限を、「administrator」ではなく、違う名前にする。
・できれば、利用先ＩＰを固定する。
・SSHは、shadowパスワードではなく、「カギ」を利用する。
こちらも、IPを固定する
などの対策をしておくのもいいかと。
また、
phpMyAdmin
などは、
https://（ドメイン）/phpmyadmin/
など、「ありがちな」ディレクトリに設置しない。
デフォルトで、パスワードアタックが行われます。
access_log:XXX.XXX.XXX.XXX – – [XX/Xxx/XXXX:XX:XX:XX +0900] “GET /phpMyAdmin/index.php?pma_username=root&pma_password=administrator!@#&server=1 HTTP/1.1” 400 226 “-” “-”
と、アタックされます。
パスワードをかけたり、指定ＩＰ以外を不許可など対策を取っておくことも重要ですが、
「phpMyAdmin」ディレクトリには、設置しない。
というのがいいのかと思います。
