すぐに始めて、継続できる AWS のセキュリティ対策

本記事では、セキュリティ対策を「予防的統制」と「発見的統制」に分類します。

「予防的統制」とはセキュリティインシデントの原因となる問題を取り除く、もしくは、軽減させるための対策です。例えば、権限分離によってユーザーが利用できる機能を制限する、というような統制を指します。

一方の「発見的統制」とは、セキュリティに関わるイベントが発生した際に、問題の早期検知と記録を行い、進行中のインシデントに対して関係者にアラートをあげるような統制を指します。例えば、不審な通信や通常とは異なるユーザーの異常な振る舞いがないかを分析し、アラートメールを送る、というようなものです。

次のパートからは、AWS サービスを用いて、予防的統制、発見的統制を導入する具体的な事例を紹介していきます。

本記事はいくつかのサービスのピックアップにとどまりますが、AWS ではセキュリティ、アイデンティティ、コンプライアンスに関するサービスを 6 つのカテゴリに分け、それぞれのベストプラクティスを公開しております。お客様のセキュリティ要件の実現にぜひお役立てください。

予防的統制の例として、AWS Identity and Access Management (IAM) を取り上げます。IAM は AWS の 200 以上に渡るサービスに関わるサービスです。IAM のベストプラクティスは こちら にまとめられています。

本記事では、ベストプラクティスの一つである “AWS にアクセスするには、ワークロードが IAM ロールを使用して一時的な資格情報を使用する必要があります” を例にとります。

ここでいうワークロードとは、AWS のサービスへリクエストを行うアプリケーションや運用ツールなど、システムにおいてビジネス価値を提供するために利用されているリソースやコード全般を指します。

具体的な実装を見る前に、簡単に IAM ロールについてご紹介します。

IAM ロールは、ユーザーやアプリケーションが AWS でアクションを実行できるように、特定のアクセス許可を作成し割り当てるエンティティです。プリンシパルが IAM ロールを引き受けると、それらの IAM ロールに付与されたアクセス許可のみが付与されます。

ローテーションする必要のない一時的な認証情報を提供するため、IAM ロールの使用はAWSセキュリティのベストプラクティスになっています。

たとえば、自分の AWS アカウントのユーザーに通常時はアクセス権限がないリソースへのアクセス権を一時的に付与する、ということもできますし、アプリケーションに AWS リソースの使用を許可したいがアプリ内に AWS のキーを埋め込みたくない、といったユースケースにも対応可能です。

IAM ロールは IAM コンソールより設定が可能です。上の図に示したように、ロールにアタッチするアクセス許可である IAM ポリシーの準備が必要となります。“AmazonS3ReadOnlyAccess”、“AmazonS3FullAccess” といった AWS マネージドのポリシーも用意されています。

この設定によって、ワークロードである EC2 は、IAM ロールを利用した一時的な認証情報を利用して、S3 へアクセスできるようになりました。

IAM セキュリティのベストプラクティスにあるように、アクセスキーを直接埋め込んだ場合には、定期的なローテーションが必要となり運用が大変です。IAM ロールを利用いただくことで、セキュアで便利な運用を実現できます。

発見的統制の代表的なサービスとして、Amazon GuardDuty、AWS CloudTrail や AWS Config によるロギングが挙げられます。これらの設定については、各ユーザーガイドをご覧ください。

本記事では、より発見的統制を加速するための仕組みとして、Amazon GuardDuty で、重要度が [Medium] (中)〜[High] (高) の検出結果を検知した場合にメール通知する仕組みを構築します。

まずは、SNS を利用してメールを送付するため、トピックとサブスクリプションを作成します。この際、SNS は Amazon GuardDuty と同じリージョンに作成する必要があることにご注意ください。既存のトピックがあれば再利用しても構いません。

次に、Amazon EventBridge にて、イベントブリッジルールを新規作成します。イベントソースは 「AWS イベント」または「Amazon EventBridge パートナーイベント」を選択します。

続けて、イベントパターンとして、「AWS のサービス」を、 AWS サービスについては「GuardDuty」を、イベントタイプ では「GuardDuty Finding」を選択します。イベントパターンのコード例を下記に示しておきます。

最後に、ターゲットタイプとして、「AWS のサービス」の中から「SNS トピック」を選択し、作成したトピックを選んだうえで、ルールの作成を完了します。

以上で、Amazon GuardDuty で重要度の高い検出結果を検知した際に自動でメール送付する仕組みを構築できました。

ここまで、予防的統制として IAM ロール、発見的統制として Amazon GuardDuty のメール通知自動化を実装しました。

最後に、こうしたセキュリティ対策を継続的に改善するためのサービスを見ていきましょう。AWS では、セキュリティの継続的改善を支援し、自動化するサービスを提供しています。

継続的な改善に利用できるサービスの例として、AWS Trusted Advisor が上げられます。AWS Trusted Advisor を利用することで、お客様の AWS 環境が AWS のベストプラクティスに沿っているか、コスト、パフォーマンス、セキュリティ、耐障害性、サービスの制限の 5 つの観点から確認することができます。

AWS Well-Architected ツールは、質問票を通じて、アーキテクチャのベストプラクティス対応状況を測定するためのサービスです。次に取り組むべき領域を定めるための自己問診票として、組織として定めているセキュリティポリシーへの準拠状況を確認するためのツールとして、など様々な用途でお使いいただけます。

このように、AWS Trusted Advisor で推奨される事項に対応していくことで、お客様環境に不足しているセキュリティ対策を、継続的に見直し、改善していくことが可能になっています。

本記事では、AWSにおいて予防的統制と発見的統制を導入する方法、さらにそうしたセキュリティ対策を継続的に改善していくための方法について、いくつかの AWS サービスを例に紹介しました。

セキュリティは難しい、あるいは、終わりのないセキュリティ対策に、面倒さを感じてしまっているという方も少なくないかと思います。しかし、AWS サービスを利用することで、セキュリティの導入と継続的改善を、より簡単に仕組み化することができます。

AWS サービスをご利用いただくことで、セキュリティが、皆様にとって少しでも楽なもの、楽しいものになれば大変嬉しく思います。