EC2（Windows Server 2022）でファイルのハッシュ値に変更があった場合にCloudWatchから通知させてみた

繁松昂大

2023.12.20

こんにちは。
繁松です。

はじめに

EC2（Windows Server 2022）でWEB改ざん検知の方法を考えてみました。
今回はファイルの追加やファイルのハッシュ値に変更があった場合にCloudWatchでアラート発報しメールアドレス宛に通知させてみます。

やってみた

前提

EC2（Windows Server 2022）は構築済み
EC2（Windows Server 2022）にAWS CLIインストール済み
- AWS CLI の最新バージョンを使用してインストールまたは更新を行う
プライベート環境の場合はエンドポイント[com.amazonaws.ap-northeast-1.monitoring]を作成、設定済み
- CloudWatch が VPC Endpoint に対応！プライベートサブネットからカスタムメトリクスが PUTできます
EC2に適切な権限を持ったIAMロールが設定済み（今回はCloudWatchFullAccessV2を設定しました。必要に応じて権限は絞ってください。）

PowerShellスクリプト

このスクリプトで、指定されたファイルのハッシュ値を比較します。
ファイルに変更がなければ、CloudWatchに「1」をPutします。変更が検出された場合は、「0」をPutします。
※ファイルのチェック対象となるディレクトリと、ハッシュ値を保存するためのディレクトリは別々のディレクトリにしてください。

  
# チェック対象のディレクトリ  
$CHECK_DIR = "C:\Users\Administrator\Documents\hash_check"  
  
# ハッシュ値を保存するファイル  
$HASH_FILE = "C:\Users\Administrator\Documents\hash\file_hashes.txt"  
$PREVIOUS_HASH_FILE = "C:\Users\Administrator\Documents\hash\previous_file_hashes.txt"  
  
# インスタンスIDを取得  
$InstanceId = Invoke-RestMethod -Uri http://169.254.169.254/latest/meta-data/instance-id  
  
# 前回のハッシュファイルが存在するかチェックし、存在しない場合は作成  
if (-Not (Test-Path -Path $PREVIOUS_HASH_FILE)) {  
    New-Item -Path $PREVIOUS_HASH_FILE -ItemType File  
}  
  
# ハッシュ値を計算してファイルに保存  
Get-ChildItem -Path $CHECK_DIR -Recurse -File |  
    Get-FileHash -Algorithm SHA256 |  
    Sort-Object -Property Path |  
    ForEach-Object { "$($_.Hash) $($_.Path)" } |  
    Set-Content -Path $HASH_FILE  
  
# ハッシュ値が変更されたかチェック  
if (Compare-Object (Get-Content -Path $HASH_FILE) (Get-Content -Path $PREVIOUS_HASH_FILE) -SyncWindow 0) {  
    # NG:ファイルに変更があればメトリクス「0」を送信  
    & aws cloudwatch put-metric-data --metric-name FileIntegrity --namespace "Custom" --dimensions InstanceId=$InstanceId --value 0 --unit None  
} else {  
    # OK:ファイルに変更がなければメトリクス「1」を送信  
    & aws cloudwatch put-metric-data --metric-name FileIntegrity --namespace "Custom" --dimensions InstanceId=$InstanceId --value 1 --unit None  
}  
  
# 現在のハッシュファイルを前回のハッシュファイルとして保存  
Move-Item -Path $HASH_FILE -Destination $PREVIOUS_HASH_FILE -Force