📌 30秒でわかる Network Access Analyzer
🏢 たとえ話で理解しよう
🏢 「建物のセキュリティ監査官」で理解する
Network Access Analyzerは、ビル全体のセキュリティ監査を行う専門家のようなものです
すべてのドアをチェック
正面玄関、非常口、従業員用入口など、建物への入り口をすべて確認
アクセス権限の確認
誰がどのフロアに入れるか、カードキーの権限をチェック
想定外の経路を発見
「この非常階段から機密エリアに入れてしまう！」という穴を発見
監査レポート
問題箇所を一覧にして、修正すべき点を報告
すべてのゲートウェイをチェック
Internet Gateway、NAT Gateway、VPN、Transit Gatewayなど全入口を確認
セキュリティ設定の確認
Security Group、NACL、Route Tableの設定を組み合わせて分析
想定外の経路を発見
「VPC Peering経由でDBに到達できてしまう！」という穴を発見
Findings（検出結果）
問題のあるネットワークパスを一覧で表示
⚙️ 動作の仕組み
（どこからどこへのアクセス？）
設定を論理的に分析
ネットワークパスを特定
検出結果をレポート
🤖 自動推論技術とは？
Network Access Analyzerは 「自動推論（Automated Reasoning）」 技術を使用しています。
これは、数学的・論理的手法でネットワーク設定を分析する技術で、
IAM Access Analyzer、Reachability Analyzer、Amazon Inspector などにも使われています。
📌 単にトラフィックを監視するのではなく、設定の組み合わせから理論的に到達可能性を判定します。
🎯 Network Access Scope（スコープ）とは
スコープは「何を探すか」を定義する検索条件です。
「こういう経路があったら教えて」 という依頼書のようなものです。
「この条件に一致する経路を見つけて」という設定
- 📍 Source: 経路の開始点（どこから）
- 📍 Destination: 経路の終点（どこへ）
- 📍 ThroughResources: 経由するリソース
「この条件に一致する経路は無視して」という設定
- ✅ 正当な例外を除外
- ✅ 許可済みの経路をスキップ
- ✅ ノイズを減らして重要な発見に集中
「違反の可能性がある経路」を定義
Source: Internet Gateway
Destination: 任意のENI
Source: 開発VPC
Destination: 本番VPC
Source: Internet Gateway
Destination: RDSインスタンス
「正当な例外」を除外してノイズを減らす
Destination: Webサーバー（ALB経由OK）
→ Webサーバーへのパスは問題なし
Source: 特定のVPN Gateway
→ 許可したVPN経由は除外
Destination: Bastionホスト
→ 運用に必要な経路は除外
📦 AWS提供のデフォルトスコープ
Network Access Analyzerを初めて使用すると、AWSが4つのデフォルトスコープを自動作成します
ネットワークインターフェースへの
インバウンド経路を検出
インターネットゲートウェイへの
アウトバウンド経路を検出
VPN、Transit GatewayからVPCへの
すべての侵入経路を検出
VPC Endpoint、VPN、TGWへの
すべての流出経路を検出
🎛️ 分析対象のリソース
Network Access Analyzerは以下のリソースの設定を分析します
💼 実践ユースケース
📊 分析結果（Findings）の見方
→ 想定外のアクセス経路が存在
→ 設定を見直す必要あり
→ ネットワーク設定は意図通り
→ コンプライアンス証明に使用可能
📋 Findingsの詳細情報
経路の開始点（ENI）
経路の終点（ENI）
経由するリソース一覧
関連するSG/NACLの設定
🔄 Reachability Analyzerとの違い
似たような名前の2つのサービス、目的が異なります！
| 項目 | 🔍 Network Access Analyzer | 🛤️ Reachability Analyzer |
|---|---|---|
| 主な目的 | 意図しないアクセス経路の発見 | 特定の2点間の接続性のトラブルシューティング |
| 分析対象 | VPC全体（多対多） | 特定のソース→デスティネーション（1対1） |
| 典型的な質問 | 「どこかに穴がないか？」 | 「なぜAからBに繋がらない？」 |
| 使用シーン | セキュリティ監査、コンプライアンス | 接続障害の原因調査 |
| 出力 | 条件に一致する全経路のリスト | 到達可能/不可能 + 原因 |
📌 簡単に覚える方法：
🔍 Network Access Analyzer = 「セキュリティ監査」（穴を探す）
🛤️ Reachability Analyzer = 「トラブルシューティング」（繋がらない原因を探す）
✨ ベストプラクティス
定期的（週次/月次）に分析を実行して
新たな脆弱性を早期発見しましょう。
本当に重要なFindingsに集中できる
ようにしましょう。
「本番環境」「開発環境」など
論理的なグループで分析しましょう。
他のセキュリティイベントと
一元管理しましょう。
ネットワーク構成を変更したら
必ず再分析を実行しましょう。
監査証跡として保存し、
コンプライアンス証明に活用しましょう。
❓ よくある質問
スコープの作成自体は無料です。分析を実行するたびに、
分析対象のENI数に応じた料金が発生します。
最新の料金はAWS公式サイトで確認してください。
• Network Access Analyzer: 「穴がないか」を探す（セキュリティ監査）
• Reachability Analyzer: 「なぜ繋がらないか」を調べる（トラブルシューティング）
両方を併用することで、より堅牢なネットワーク管理が可能です。
AWS Organizationsを使ったクロスアカウント分析機能は
今後のロードマップに含まれています。
複数アカウントを分析するには、各アカウントで個別に実行する必要があります。
ネットワークの複雑さやリソース数によって異なりますが、
一般的なVPC環境であれば2〜5分程度です。
大規模な環境ではより長くなる場合があります。
🎓 まとめ
自動的に特定
要件を証明
体制を改善
時間を大幅削減