Security Hubの運用を考える①

投稿日: 2023/10/02

はじめに

こんにちは、園田です。
AWS利用において、「セキュリティについてきちんと管理したい。」とか「クラウド特有のリスクってどんなのがあるのかな。」などのお悩みがあるかと思います。
で、AWSでセキュリティ対策といえば1番最初にあがるのが「Security Hub」ではないでしょうか。お客様の中でも有効にしているものの、実際にきちんと運用が出来ているというお客様は案外少ないのではないでしょうか。

実際、セキュリティ運用というのは結構難しいと思いますし、とりあえず入れてみたけれどその後は、というケースも見られます。
セキュリティ製品は導入することよりも「運用」をきちんと回すことの方が重要であるため、導入する際にどのレベルであれば運用可能か、またどのような運用するのか（だれが管理する、いつまでに対応する、など）をきちんと検討しておく必要があります。

Security Hubってどんな内容が検知できるの？

Security Hubの検知内容ですが、実際にどのような内容を検知するか実際に見てみましょう。
Security Hubでは、以下の4つのセキュリティ基準が用意されています。（2023年8月現在）

• AWS 基礎セキュリティのベストプラクティス（v1.0.0）
• CIS AWS Foundations Benchmark（v1.2.0 or v1.4.0）
• NIST Special Publication 800-53（Revision 5）
• PCI DSS（v3.2.1）

これらの基準から1つ、または複数選択することが可能です。
（すべてをチェック対象にすることも出来ます。）

Security Hubの検知できるセキュリティ基準

とはいえ、何か明確にこの基準を満たす必要があるという条件が無ければ、とりあえず「AWS 基礎セキュリティのベストプラクティス」を実施しておけば問題ないでしょう。
（そもそも明確にこの基準というのがあれば、運用に悩むことなどないでしょう。）

「AWS 基礎セキュリティのベストプラクティス」についてはAWSを使う上でリスクをある設定等を実施していた場合、アラートを出してくれるものです。現状お客様のセキュリティルールについてはオンプレミスを対象としており、クラウド特有のセキュリティリスクに対しては対応できていない。というようなお客様にはかなりマッチする内容ではないでしょうか。

というわけで具体的にどのような項目をチェックするのかを見ていきましょう。

「AWS 基礎セキュリティのベストプラクティス」にて「有効化」をクリックし、セキュリティ基準を有効化したのち、「結果を表示する」をクリックすることで、「AWS 基礎セキュリティのベストプラクティス」がチェックしている内容をダウンロード可能です。

ダウンロード画面（ダウンロードをクリックするとチェック項目がダウンロードできます）

csv形式でダウンロードできますので、どのような項目があるか見ていきましょう。

実際にダウンロードしたファイルをExcelで開いた場合の例

上記の画像を見てもらえれば分かるかと思いますが、Security Hubには「重要度」というものが存在します。重要度は「重要」、「高」、「中」、「低」となって、基本的には「重要」が最も危険度が高いと認識して貰って間違いありません。

重要度の定義はこちら

• 重大
  →　この問題は、さらに悪化しないように直ちに修復する必要があります。
• 高
  →　この問題は短期的な優先事項として対処する必要があります。
• 中
  →　この問題は、中期的な優先事項として対処する必要があります。
• 低
  →　この問題には、独自のアクションは必要ありません。

〇参考
https://docs.aws.amazon.com/ja_jp/securityhub/latest/userguide/controls-findings-create-update.html

Security Hubで重要度が高いもののみを通知する

運用においてはまずはできる所から確実にやっていきたいものです。
Security Hubの検知項目には重要度があると記載しましたが、いきなり全ての項目に対応するというのはかける労力に対し、あまりにもメリットが少ないです。なので、とりあえず重要なアラートから対応するというのが一般的かと思います。

重要という意味では「重要度の定義」にて記載した「重要」、および「高」がそれにあたると考えます。運用では検知しただけではなく、きちんと通知する必要があります。
（通知設定を実施しないと、都度マネジメントコンソールを見ないと検知したかどうか分からないです。）

という訳で、まずは重要度が「重要」、および「高」のアラートのみ通知するという事をやってみたいと思います。実施手順は以下になります。

１．EventBridgeにて「ルール」のタブから「ルールを作成」をクリック

２．名前に任意の名前を入力。「イベントパターンを持つルール」を選択し、「次へ」をクリック

３．「イベントパターンを構築」にて以下の通りのjsonを記載

            {
                "source": [
                  "aws.securityhub"
                ],
                "detail-type": [
                  "Security Hub Findings - Imported"
                ],
                "detail": {
                  "findings":
                    {
                      "Compliance": {
                        "Status": [
                          {
                            "anything-but": "PASSED"
                          }
                        ]
                      },
                      "Severity": {
                         "Label": [
                           "CRITICAL",
                           "HIGH"
                         ]
                      },
                      "RecordState": [
                        "ACTIVE"
                      ]
                    }
                }
            }              
        

４．ターゲットにてSNSトピックを選択し、「次へ」をクリック

５．確認画面にて「ルールの作成」をクリック

上記の設定にて重要度が「重要」、および「高」のアラートのみ指定したSNSトピックに飛ばすことが可能です。Securityのlabel項目について「CRITICAL」、「HIGH」としていますが、「HIGH」を削除すると「重要」の項目のみ通知可能、「MEDIUM」を追加することで「中」の項目について通知が可能です。

Security Hubで検知する内容を分類する

重要度が「重要」、および「高」のものだけ通知する設定を実施しましたが、実際にどのようなアラートが出た際に、どのような対応をするのかを定義しておかないと迅速に対応が出来ません。

とはいえ、通知と同じくすべての項目について定義を行うのは効率が悪いですし、アラートの内容は適時追加されるため、内容をすべて把握することはあまり意味がありません。とはいえ、チェックされる内容の傾向を見ることは必要です。

というわけで、ダウンロードしたcsvファイルから重要度が「重要」、「高」のものを見ていきましょう。

重要度が「重要」、および「高」（かつ、EC2、RDS、IAMのみ）

2023年8月時点で「重要」、「高」の項目は56個ありました。56個全部を見ていくのは大変なので、皆さんのなじみの深いEC2、RDS、IAMに絞ってみました。さらに分類のため、EC2のみを挙げてみます。

EC2の項目

• １．EBS スナップショットはパブリックに復元可能ではありません
• ２．セキュリティグループは、許可されたポートのための無制限の着信トラフィックのみを許可する必要があります
• ３．セキュリティグループは、リスクが高いポートへの無制限アクセスを許可してはなりません
• ４．VPC のデフォルトのセキュリティグループはインバウンドトラフィックとアウトバウンドトラフィックを許可しない必要があります
• ５．EC2 Transit Gateway は、VPC アタッチメントリクエストを自動的に受け入れることはできません
• ６．EC2 launch templates should not assign public IPs to network interfaces
• ７．EC2 インスタンスでは、Instance Metadata Service Version 2 (IMDSv2) を使用する必要があります
• ８．EC2 インスタンスにはパブリック IPv4 アドレスを使用できません

上記8項目ですが、以下のように分類できるかと思います。
（６と８は一緒のことを言っているので本ブログでは８に統合するものとします。）

分類パターンはあまり多くなっても大変なので以下の4つぐらいにしておきましょう。
ちなみに今回は例のためEC2のみで記載していますが、全サービス同様に分類可能です。

分類パターン（案）

それでは、それぞれを詳しく見ていきましょう。

ちょっと長くなってしまったのでいったんここで切らせていただきます。
次回、「Security Hubの運用を考える②」できちんとした運用について記載させていただきます。
（前提が多いため、運用までたどり着けませんでした…。）

Security Hubの運用を考える②

CTCは、AWSのビジネス利活用に向けて、お客様のステージに合わせた幅広い構築・運用支援サービスを提供しています。
経験豊富なエンジニアが、ワンストップかつ柔軟にご支援します。
ぜひ、お気軽にお問い合わせください。