AWSセキュリティ強化を実現！「AWS Security Hub」でチェック可能な新しいセキュリティベストプラクティス

第9回　AWS Security Hubの「AWS Foundational Security Best Practices 標準」アップデート

本連載では、AWSに関してなかなか時間がとれず最新のアップデートを追えていない方や、これからAWSを利用したいと考えている方に向けて、AWSから発表される数多あるサービスアップデートのうち、NTTデータのITスペシャリスト達がこれだけは押さえておくべきと厳選した内容を定期的に紹介します。本記事では、AWSセキュリティ強化に役立つAWS Security Hubのアップデート情報を紹介します。

はじめに

　昨今、AWSをはじめとしたクラウドサービスの誤設定が原因となった情報漏洩インシデントや設定不備をつくサイバー攻撃が増えているため、クラウドサービスの設定が適切な状態であるかをチェックする機構が重要視されています。このような仕組みはCloud Security Posture Management（CSPM）と呼ばれ、AWSではSecurity Hubを利用することでCSPMを実現できます。

　AWS Security Hubでは、いくつかのルールセットに基づいて適切な設定をされているかを継続的にチェックすることが可能です。今回はその中でもカバー範囲が広く、アップデート頻度が高いことから、筆者が最も重要視している「AWS Foundational Security Best Practices 標準」に関するアップデートを紹介します。

Security Hubのアップデート

　先日、前述のAWS Foundational Security Best Practices 標準に対して、9つの新たなルールが追加されました。追加されたルールは下記です。

1. ［Account.1］：AWSアカウントのセキュリティ連絡先情報を提供してください
2. ［APIGateway.8］：WebsocketとHTTPのAPIゲートウェイルートに認証タイプを指定してください
3. ［APIGateway.9］：API Gateway V2ステージのアクセスログを有効にしてください
4. ［CloudFront.12］：CloudFrontディストリビューションが存在しないS3オリジンをポイントしないようにしてください
5. ［CodeBuild.3］：CodeBuild S3ログは暗号化してください
6. ［EC2.25］：EC2起動テンプレートがネットワークインターフェイスにパブリックIPを割り当てないようにしてください
7. ［SageMaker.2］：SageMakerノートブックインスタンスはカスタムVPCで起動してください
8. ［SageMaker.3］：ユーザーにSageMakerノートブックインスタンスへのルートアクセス権を付与しないようにしてください
9. ［WAF.10］：AWS WAFv2ウェブACLに少なくとも1つのルールまたはルールグループを用意してください

　これらのルールの対象となっているAWSサービスやそのルールが必要とされる背景について説明をしていこうと思います。