速報 ID: AWS-2025-021
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2025 年 10 月 8 日 午前 11 時 15 分 (PDT)

説明:

AWS では、お客様が予想外の AWS アカウントとやり取りする原因になる、潜在的なインスタンスメタデータサービス (IMDS) 偽装問題を認識しています。IMDS が EC2 インスタンスで実行されるときは、ループバックネットワークインターフェイス上で動作し、お客様が AWS サービスとのやり取りに使用するインスタンスメタデータ認証情報を提供します。これらのネットワークコールが EC2 インスタンス外で行われることはなく、お客様は IMDS ネットワークインターフェイスが AWS のデータ境界内で維持されることを確信できます。

EC2 以外のコンピューティングノードから AWS ツール (AWS CLI/SDK や SSM エージェントなど) を使用する場合は、サードパーティが制御する IMDS が予期しない AWS 認証情報を提供する可能性があります。この問題は、サードパーティが特権的な地位を有するネットワーク上でこうしたコンピュートノードが実行されていることを条件として発生します。お客様が AWS のデータ境界外で AWS ツールを使用するときは、この問題の発生を軽減するため、インストールおよび設定ガイド (AWS CLI/SDK または SSM Agent) に従うことをお勧めします。また、オンプレミス環境で実行されている可能性のある IMDS エンドポイントを監視して、サードパーティによるこのような偽造問題を積極的に防止することもお勧めします。

影響を受けるバージョン: IMDSv1 および IMDSv2

解決方法:

お客様が AWS のデータ境界外で AWS ツールを使用するときは、この問題の発生を軽減するため、インストールおよび設定ガイド (AWS CLI/SDK または SSM Agent) に従うことをお勧めします。

監視:

組織は、オンプレミス環境内の予期しない AWS インスタンスメタデータサービス (IMDS) トラフィックを監視する必要があります。このようなトラフィックは、潜在的な設定ミス、ローカルで実行されているクラウドアプリケーション、またはセキュリティ上の懸念を示しているためです。

169.254.169.254 (AWS IPv4 リンクローカルメタデータエンドポイント) と fd00:ec2::254 (AWS IPv6 メタデータエンドポイント) への接続、/latest/meta-data や /latest/api/token といった AWS 固有のパスへの HTTP リクエスト、X-aws-ec2-metadata-token などの AWS メタデータヘッダーの存在を監視してください。これらのエンドポイントは、AWS EC2 インスタンスが設定データ、IAM 認証情報、およびインスタンス情報を取得するために予約されているため、オンプレミス限定のネットワークには決して存在すべきではありません。

この検出ガイダンスの概要は SIGMA で提供されています。SIGMA は、特定の SIEM クエリ言語に変換される汎用ルール形式で、汎用性のある検出機能のデプロイを可能にします。このルールを作成するには、logsource: category: network を定義してさまざまなネットワークテレメトリを関連付けてから、複数の選択ブロックを作成します。ip_aws_dst: dst_ip: 169.254.169.254 は直接接続をキャプチャし、http_url_paths: url|contains: ['/latest/meta-data', '/latest/api/token'] は SIGMA のリスト構文を使用してメタデータリクエストを検出します。別個の選択ブロック内で destination.ip、c-ip、および request_url|contains などのフィールドバリアントを使用して、ベンダー間の異なるログスキーマに対応します。所定のプレフィックスを用いてすべての選択ブロックを一致させる条件ロジックを実装します (例: ワイルドカード * がこれらのプレフィックスで始まるすべての選択ブロックと一致する condition: 1 of ip_* or 1 of http_*)。検出は、SIGMA の contains 修飾子を使用することで厳密化することができ、IMDSv2 トークンリクエストの場合は request_headers|contains: 'X-aws-ec2-metadata-token' になります。SIGMA をデプロイすると、SIGMA がこの汎用構文を SIEM のネイティブクエリ言語 (Splunk の SPL、QRadar の AQL、Sentinel の KQL、または Elastic の KQL) に変換するため、プラットフォーム固有のフィールド名や演算子に適応しながら同一の検出ロジックを維持できます。

ルールの忠実度を高めるには、ソースサブネットや VLAN に基づく抑制ロジックを適用することにより、オンプレミスのネットワークトラフィック限定でアラートをトリガーすることを検討できます。

セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。