AWS Network Firewallのルールヒットカウント機能は、どのステートフルファイアウォールルールがトラフィックにマッチしているかをセキュリティチームに可視化するもので、未使用または冗長なルールの特定や、セキュリティ管理策が意図通りに機能しているかどうかの検証に役立ちます。
この機能はカスタムルールグループとマネージドルールグループの両方に含まれるステートフルルールを対象としており、ステートレスルールはサポート対象外です。
この機能はデフォルトで有効になっており、Network Firewallの追加料金は発生しませんが、ログデータの保存やクエリには通常通り料金がかかります。ルールヒットカウントは、AWS Network Firewallがサポートされているすべてのリージョンで利用可能ですが、中東（UAEおよびバーレーン）は除きます。
「このデータを使うことで、未使用のルールを特定・削除したり、インシデント対応を迅速化したり、コンプライアンスのためにセキュリティ管理策の有効性を検証したりできます」と、著者らは述べています。
AWS Network Firewallは、自動化されたインテリジェンス駆動型のネットワークセキュリティによってAmazon Virtual Private Cloud（VPC）を保護します。顧客はトラフィックを制御するための詳細なルールを作成できるほか、Amazonの脅威インテリジェンスを活用したAWSマネージドルールを使い、地理的なIPフィルタリング、ディープパケットインスペクション、侵入防止、プロキシ機能などの機能でアクティブな脅威をブロックできます。
AWSによると、一定期間使われていないルールの削除を義務付けるガバナンスポリシーを持つ組織であっても、これまではそうしたルールを特定する手段がありませんでした。PCI DSS 4.0やデジタルオペレーショナルレジリエンス法（DORA）などのコンプライアンスフレームワークを担当するチームは、特定の管理策が実際に機能していることを証明するのに苦労することがあります。
仕組み
ルールヒットカウントは、ステートフルファイアウォールルールがネットワークトラフィックにマッチした頻度を追跡します。ルールのマッチによってアラートログが生成されると、カウンターが増加します。alert、drop、rejectのいずれかのアクションを持つルールは自動的にこれらのログを生成しますが、passアクションが設定されたルールがこの指標に反映されるにはalertキーワードを含める必要があります。
AWSはアラートログにルールグループのメタデータを追加しており、Network Firewallモニタリングダッシュボードはこれを利用してヒットカウントを算出し、セキュリティチームが基盤となるログを手動でクエリすることなくルールの活動状況を把握できるようにしています。
「CloudWatchに保存されたログについてはCloudWatch Logs Insights、Amazon S3に保存されたログについてはAmazon Athenaを使って、これらのログを直接クエリすることでもこのデータにアクセス・分析できます」と著者らは続けています。
このメタデータはファイアウォールログに自動的に含まれるため、カスタムダッシュボードでも利用できます。
どのファイアウォールルールが有効かを確認する
Network Firewallダッシュボードには「Top Rule Hits」ビューが用意されており、選択した期間内で最も頻繁にトリガーされたステートフルルールを、ヒットカウント、全体活動に占める割合、ルールの詳細、最終発生時刻とともに表示します。
AWS Network Firewallコンソールの「Top Rule Hits」パネル（出典: AWS）
署名IDがこの指標に表示されないルールは、選択した期間内でトラフィックにマッチしていないことを意味します。AWSによると、これはルールが古くなっているか、ルールグループ内での順序付けが誤っている可能性を示しているといいます。
このビューはインシデント対応の際にも役立ちます。AWSが挙げる例では、帯域外アプリケーションセキュリティテスト（OAST）ドメインへのトラフィックを検知するルールがあり、これはデータ流出の試みや、攻撃者が脆弱性を検証している兆候である可能性があります。この指標を疑わしいインシデントの時間帯に絞り込むことで、アナリストは何千件ものログエントリを手動で解析することなく関連する活動を特定できます。
AWSは、AIおよび機械学習ドメインを対象としたルールや、送信トラフィックに対するジオフェンシング制限のルールを例に、ヒットカウントが最近導入された管理策の検証にどう役立つかを示しました。記録されたヒット数から、これらのルールが意図通りにトラフィックにマッチしていることが確認できました。
翻訳元: https://www.helpnetsecurity.com/2026/08/24/aws-network-firewall-rule-hit-count-capability/
