“0.0.0.0”の脅威をVPCフローログから学んでみた

たかくに

2022.02.28

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは！AWS 事業本部コンサルティング部のたかくに（@takakuni_）です。
皆さん、VPC フローログ使ってますか？
VPC フローログは、VPC 内のネットワークインターフェイスで行われたトラフィック情報を取得する機能です。

すでに知ってるよ！って方は、本題まで読み飛ばしていただいて構いません。
https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/flow-logs.html
 ざっくり解説ログ取得範囲：「VPC」、「サブネット単位」、「個別の ENI ごと」のどれか
ログ送信先：「S3」または「CloudWatch Logs」のどちらか
ログの粒度：「ACCEPT」、「REJECT」、「ALL」のどれか
 本題ざっくりと、VPC フローログについて、ご説明しました。
前置きは長くなりましたが、ここからが本題です。
では、「毎分どれほどの、意図しない IP からアクセスされている」かご存知ですか？
今回は、そんなお話です。
 結論今回調べた結果だと毎分 5.7 件、REJECTが検出された
惰性で、"0.0.0.0/0"の許可は、ほんとにやめよう！
検証でサクッとパブリックアクセスしたい場合は、「マイ IP」機能を使用しましょう
 構成図今回の構成図は、以下の通りです。
ENI に対して、VPC フローログを設定し、「REJECT」されたログを最大 1 分間隔で取得します。
取得したログを CloudWatch Logs に送信し、10 分間の REJECT 数を調べます。
 いざ実践ご自身で実施される場合は、以下の注意点にお気をつけください。
すべてのリソースを同じリージョン内で作成すること
ENI とセキュリティグループは同じ VPC内で作成すること
 CloudWatch Logs ロググループの作成CloudWatch 管理コンソールから、「ロググループ」を選択し、ロググループの作成を行います。
保持期間は、念のため「1 日」に設定し、検証終了後に削除します。
 IAM ロールの作成CloudWatch Logs へ、VPC フローログを送信するには、「IAM ロール」が必要です。
公式ドキュメントを参考に、IAM ロールを作成します。
https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/flow-logs-cwl.html#flow-logs-iam
 セキュリティグループの作成インバウンドルールがないセキュリティグループを作成します。セキュリティグループは、後の ENI にアタッチを行います。
 ENI の作成パブリックサブネットに、ENI を作成します。
VPC フローログも有効にしておきます。
 EC2 の作成EC2 インスタンスを作成します。
作成したセキュリティグループ、ENI をアタッチして、EC2 インスタンスを起動します。
今回、ログインすることはないので、キーペアも設定不要です。
 ログの確認画面右上の時間で「直近 10 分間」を検索対象に、CloudWatch Logs Insights で検索すると、57 レコードが検索結果として表示されました...
毎分、5.7 回も不明な IP からアクセスされていることになります。
とても怖いですね。
 どんなポート使っているの？堂々の「22 番」がトップで使われていました。（約 33％）
次点で、0 番ポート（約 15.8％）、Redis で使用する 6379 ポート（約 10.5%）などさまざまなポートを使用してアクセスされていました。
 参考https://dev.classmethod.jp/articles/guardduty-ssh/
https://www.security-next.com/130878
 まとめ今回は、VPC フローログを使用してフルオープンの脅威を調べてみました。
正直、こんなにアクセスされているとは思っていなかったです。どのような脅威に晒されているかよく知れました！
以上、AWS 事業本部コンサルティング部のたかくに（@takakuni_）でした！