Amazon Inspector のLambdaのスキャン除外タグ付けをAWS Organizationsのサービスコントロールポリシー (SCP)で防止する

梶原大使

2023.11.14

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

AWS事業本部の梶原＠福岡オフィスです。

Amazon Inspector はソフトウェアの脆弱性やネットワークへの意図しない公開がないかなどを継続的にスキャンする脆弱性管理サービスになります。

こちらのAmazon Inspector のスキャンですがコスト要因や他のセキュリティサービスとの競合などの理由でスキャンするリソースの除外設定を行うことができます。

よくある質問 - Amazon Inspector | AWS

Q: リソースをスキャンから除外できますか?

Lambda 関数の場合:はい、リソースタグを追加することで Lambda 関数をスキャンから除外できます。標準スキャンの場合は、「InspectorExclusion」キーと値「LambdaStandardScanning」を使用してください。コードをスキャンするには、「InspectorCodeExclusion」キーと値「LambdaCodeScanning」を使用してください。

こちらのタグキーまた値を設定することにより、Lambda関数のInspectorのスキャン対象を管理できるのですが、タグを削除することを忘れたり、また悪意を持って、除外タグをつけてスキャンを回避しようとすることも可能ではあります。

そこで、AWS Organizations のサービスコントロールポリシー (SCP)機能を利用して、Lambda 関数に対して、スキャン除外タグをつけることを防いでみたいと思います。

なお、Amazon ECR のスキャン除外については、タグ付けではなく別の方法になりますので、今回の対象からははずさせていただきます。

Amazon ECR にあるコンテナイメージの場合: はい。スキャン用に設定する Amazon ECR リポジトリを選択できますが、リポジトリ内のすべてのイメージがスキャンされます。包含ルールを作成して、スキャンするリポジトリを選択できます。

EC2のスキャン除外タグ付けの防止については、先行して以下のエントリーでご案内させていただいてますので、ご参考ください

Amazon Inspector のEC2のスキャン除外タグ付けをAWS Organizationsのサービスコントロールポリシー (SCP)で防止する | DevelopersIO

結論

Oraganizations のサービスコントロールポリシー (SCP)を有効にして、以下のポリシーを有効にしたい組織に対してアタッチしてください。

なお、SCPのアタッチ数には上限がありStatementは複数記載することが可能ですので、対象のStatementの部分を現在有効なSCPに追加して有効化することをお勧めします

Lambda関数を標準スキャンから除外するタグ付けを防止したい場合

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyLambdaWithInspectorExclusionTag",
            "Effect": "Deny",
            "Action": [
                "lambda:*"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/InspectorExclusion": "LambdaStandardScanning"
                }
            }
        }
    ]
}

Lambda関数をコードスキャンから除外するタグ付けを防止したい場合

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyLambdaWithInspectorCodeExclusionTag",
            "Effect": "Deny",
            "Action": [
                "lambda:*"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/InspectorCodeExclusion": "LambdaCodeScanning"
                }
            }
        }
    ]
}

やってみる

AWS Organizations でのサービスコントロールポリシー (SCP)の有効化

AWS Organizationsでサービスコントロールポリシーを有効化します。

サービスコントロールポリシー (SCP)を作成、編集する

コンソールより新しいサービスコントロールポリシーを作成します
ポリシーを作成します。
Lambdaのスキャン除外タグを防止するポリシーを作成します
- 標準スキャン、コードスキャンのどちらも拒否する設定となります

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "DenyLambdaWithInspectorExclusionTag",
      "Effect": "Deny",
      "Action": [
        "lambda:*"
      ],
      "Resource": [
        "arn:aws:lambda:*:*:function:*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/InspectorExclusion": "LambdaStandardScanning"
        }
      }
    },
    {
      "Sid": "DenyLambdaWithInspectorCodeExclusionTag",
      "Effect": "Deny",
      "Action": [
        "lambda:*"
      ],
      "Resource": [
        "arn:aws:lambda:*:*:function:*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/InspectorCodeExclusion": "LambdaCodeScanning"
        }
      }
    }
  ]
}