外部連携基盤 (Integrations) ＆ SSRF 多重防御

AegisMesh は、エンタープライズの既存セキュリティ基盤（SIEM、IdP、EDR、オブジェクトストレージ）とシームレスに連携できる エンタープライズ・インテグレーション基盤 を提供します。

外部連携を行うシステムにおいて最も深刻な脆弱性である SSRF（Server-Side Request Forgery） や DNS Rebinding 攻撃 に対し、カーネルソケットレベルでの多重防御フィルターを実装しています。

3大インテグレーション機能

flowchart LR
    Aegis["AegisMesh<br>コントロールプレーン"] --> EventStream["① Event Streaming<br>(監査・接続ログ配信)"]
    Aegis --> IdpSync["② IdP / Directory Sync<br>(ユーザー・グループ同期)"]
    Aegis --> EdrSync["③ EDR / Posture<br>(端末脅威検知・隔離)"]

    EventStream --> S3["AWS S3 / Cloudflare R2<br>Wasabi / Azure Blob / GCS"]
    EventStream --> Webhook["SIEM / Splunk / Datadog<br>Slack / Teams Webhook"]

    IdpSync --> Entra["Microsoft Entra ID (UUID tid)"]
    IdpSync --> Google["Google Workspace"]
    IdpSync --> LineWorks["LINE WORKS (API 2.0)"]

    EdrSync --> Defender["Microsoft Defender (MDE)"]
    EdrSync --> CrowdStrike["CrowdStrike Falcon"]
    EdrSync --> SophosAcronis["Sophos / Acronis"]

1. Event Streaming (ログ外部ストリーミング)

監査ログや端末接続・切断イベントを、外部のオブジェクトストレージや SIEM サーバーへリアルタイムに転送します。

対応ストレージ: Cloudflare R2, Wasabi, AWS S3, Google Cloud Storage (GCS), Azure Blob, Backblaze B2
Webhook 配信: 任意の HTTP/HTTPS Webhook エンドポイントへの JSON ペイロード即時 POST 配信

2. IdP / Directory Sync (アカウント同期)

IdP 側のユーザー追加・削除・所属グループ変更をリアルタイムに AegisMesh へ反映します。

Microsoft Entra ID: テナント固有の UUID tid を厳格にバインドし、他社 Entra ID からの不正混入を防止。
LINE WORKS (API 2.0): 日本国内で普及しているビジネスチャットアカウントとの組織連動。

3. EDR / Security Posture (セキュリティポスチャ連携)

端末のウイルス感染や異常行動を検知した際、AegisMesh のネットワークから該当端末を自動隔離（ACL 即時破棄）します。

対応 EDR: Microsoft Defender for Endpoint (MDE), CrowdStrike Falcon, SentinelOne, Sophos XGS / Taegis, Acronis CyberProtect

SSRF / Egress Policy 多重防御アーキテクチャ

外部連携でユーザーが任意の URL やエンドポイント（Webhook URL、S3 エンドポイント等）を指定できる場合、悪意あるユーザーが「社内プライベート IP」や「クラウドメタデータ」を指定して管理サーバーの内部情報を窃取する攻撃（SSRF）が発生する危険があります。

AegisMesh は、以下の 4 重の Egress セーフガード を全通信に強制適用します。

flowchart TD
    Req["外部連携リクエスト (Webhook / API送信)"] --> P1["Phase 1: URL構文・スキーム検査 (HTTPS必須)"]
    P1 --> P2["Phase 2: DNS解決 ＆ IP事前検査"]
    P2 --> Block1{"メタデータ / Loopback / RFC1918？"}
    Block1 -- Yes --> Drop1["❌ 即座に拒絶 (SSRF Blocked)"]
    Block1 -- No --> P3["Phase 3: オーバーレイ網 (100.64.0.0/10) 検査"]
    P3 --> Block2{"WireGuardメッシュ宛て？"}
    Block2 -- Yes --> Drop2["❌ 完全拒絶 (Cross-Overlay Blocked)"]
    Block2 -- No --> P4["Phase 4: OSソケットレベル二重検証 (Control Hook)"]
    P4 --> Block3{"DNS Rebinding 発生？"}
    Block3 -- Yes --> Drop3["❌ コネクション即時強制切断"]
    Block3 -- No --> Pass["✅ 安全な外部通信を許可"]

1. 危険 IP アドレスの多段遮断

クラウドメタデータ: 169.254.169.254（AWS/GCP/Azure の認証情報エンドポイント）へのアクセスを完全遮断。
ループバック: 127.0.0.0/8, ::1 宛てのローカル通信を拒絶。
プライベート LAN: RFC1918（10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16）宛ての通信を原則拒絶。

2. オーバーレイ網横断の完全拒絶 (`100.64.0.0/10`)

管理サーバーから WireGuard オーバーレイ網（100.64.0.0/10）宛ての通信を無条件で完全拒絶 します。これにより、Webhook を悪用して他テナントのピアや社内クライアント端末を攻撃する試みを根本的に無力化します。

3. Two-Phase ソケットレベル検査 (DNS Rebinding 完全阻止)

攻撃者が最初は正常なグローバル IP を返し、接続直前に内部 IP へ DNS 応答をすり替える DNS Rebinding 攻撃 を防ぐため、Go言語の net.Dialer.Control フックを用いて、OS が実際に TCP/TLS ソケットを接続する直前の生 IP アドレスを二重検証 します。内部 IP であった場合はソケット確立前に即座に接続を切断します。

4. 明示的許可リスト (`AEGISMESH_PRIVATE_EGRESS_ALLOWLIST`)

オンプレミス設置の内部 SIEM や社内 Webhook サーバーと連携する場合に限り、環境変数で明示的に指定された CIDR / ホストのみ例外通信を許可します。