AWS Security Hubが警告してきたAthena.1を一撃で解決する

こんにちは。サービス開発室の武田です。

AWS Security Hubは使っていますか？AWS環境のセキュリティベストプラクティスチェックを行い、アラート集約などを行ってくれるサービスです。

さてSecurity Hubを運用していると日々、さまざまなアラートが上がったりするわけですが、今回は Athena.1 のアラートが上がった場合の対処を紹介します。

Athena.1とは

Athenaにはワークグループという設定単位があり、そこで結果の保管に暗号化が有効化されていることを求めます。暗号化が有効化されていないとアラート通知が飛んでくるわけです。

マネジメントコンソールだと、次の画像のように「クエリ結果の暗号化」が設定されている必要があります（実際には暗号化の方式は複数あるので、いずれかが設定されていればよい）。

さて、まぁこれくらいなら手動で設定してもいいと考える人もいるでしょう。しかしこれが全リージョンで必要となるとどうでしょう？やりたくないですね？

一撃で解決しよう

というわけで、こういう時はコマンドが便利ですね。次のコマンドをCloudShellなどで実行すれば一撃で解決できます！ただしprimary以外のワークグループを自前で作っている人は、別途対応してください。

aws ec2 describe-regions \
  | jq -c '.Regions[].RegionName' \
  | xargs -I{} \
    aws --region {} athena update-work-group \
      --work-group primary \
      --configuration-updates EnforceWorkGroupConfiguration=false,EnableMinimumEncryptionConfiguration=true,ResultConfigurationUpdates={EncryptionConfiguration={EncryptionOption=SSE_S3}}

まとめ

Security Hubと仲良くなりたい。

参考URL

• Amazon Athena コントロール - AWS Security Hub