【Security Hub入門】フルオープンされたセキュリティグループをカスタムアクションで削除する

Security Hub 検出結果からカスタムアクションを呼び出し、コンプライアンスチェック失敗に対するリカバリーを試してみます。

#AWS Security Hub

#AWS

吉井亮

2019.07.16

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは。
ご機嫌いかがでしょうか。
"No human labor is no human error" が大好きな吉井亮です。

2019年6月24日に AWS Security Hub の一般提供を開始というアナウンスされました。
私も非常に注目しているサービスです。

Security Hub の検出結果から AWS セキュリティサービスや
3rd-party のプロダクトが検出した問題や失敗してコンプライアンスチェックを確認可能です。

今回は、検出結果からカスタムアクションを呼び出し
コンプライアンスチェック失敗に対するリカバリーを試してみます。

セキュリティグループルールを削除

CIS AWS Foundation 4.2 どのセキュリティグループも 0.0.0.0/0 からポート 3389 への侵入を許可していないことを確認する を検出して
ポート 3389 (RDP) をフルオープンしているセキュリティグループルールを削除する手順を構築します。

この手順の良いところは以下だと考えています。

不穏な設定変更を検知可能
オペレーターにセキュリティグループを変更する権限を与えなくて済む

特に2点目は効果が大きいと思います。
オペレーターに Security Hub のカスタムアクションを許可する権限を付けておけば
不穏なセキュリティグループルールを削除することが可能になります。

セキュリティグループに対する権限を与えなくて済みますし
そもそも Security Hub が検出したセキュリティグループルールしか変更できません。

実装

さっそく実装していきます。

SNS トピック作成

マネジメントコンソールでトピックを開きます。

トピックの作成 をクリックします。

任意の名前でトピックを作成します。
例として「cis42-rdp-opend」という名前を付けています。

IAM ポリシーの作成

セキュリティグループルールを削除するためのポリシーを作成します。
ポリシーを開きます。

ポリシーの作成 をクリックします。

以下の json をコピペしてポリシーを作成します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "0",
            "Effect": "Allow",
            "Action": [
                "ec2:RevokeSecurityGroupIngress"
            ],
            "Resource": "*"
        }
    ]
}

Lambda 関数作成

関数を開きます。

関数の作成 をクリックします。

設計図の使用 を選択します。
sns-message-python を検索して選択してから設定をクリックします。

次の画面では以下の情報を入力し関数の作成をクリックします。

項目	値
関数名	任意
実行ロール	基本的な Lambda アクセス権限で新しいロールを作成
SNS トピック	前の手順で作成したトピックを指定
トリガーの有効化	チェックを入れる

関数コード

関数コードは以下をコピペしてください。
ランタイムは Python 3.6 を指定します。

import json
import boto3
from botocore.exceptions import ClientError

def lambda_handler(event, context):
    #print("Received event: " + json.dumps(event, indent=2))
    message = json.loads(event['Records'][0]['Sns']['Message'])
    #print(message)

    sgId = message['detail']['findings'][0]['Resources'][0]['Details']['Other']['groupId']

    ec2 = boto3.client('ec2')

    try:
        response = ec2.revoke_security_group_ingress(
            CidrIp = '0.0.0.0/0',
            GroupId = sgId,
            FromPort = 3389,
            ToPort = 3389,
            IpProtocol = 'tcp'
        )

    except ClientError as e:
        print(e)

実行ロールにポリシーをアタッチ

実行ロールという項目に IAM コンソールへのリンクが表示されています。
そちらをクリックします。

IAM ロールが表示されたら ポリシーをアタッチします をクリックします。

前の手順で作成した IAM ポリシーをアタッチします。

カスタムアクション作成

Security Hub のカスタムアクションを作成します。
カスタムアクションを開きます。

カスタムアクションを作成する をクリックします。

設定情報を入力して カスタムアクションを作成する をクリックします。

項目	値
アクション名	任意
説明	わかりやすい説明を入力
カスタムアクション ID	後ほど CloudWatch Event で指定する ARN になります。

作成した カスタムアクション ARN をメモしておきます。

CloudWatch Events ルールの作成

もう少しで終わります。
CloudWatch Events を開きます。

ルールの作成 をクリックします。

イベントソース

カスタムイベントパターンの構築 を選択し、以下の json をコピペします。
"your-customaction-arn" の部分は前の手順でメモしたカスタムアクション ARN を入力します。

{
  "source": [
    "aws.securityhub"
  ],
  "detail-type": [
    "Security Hub Findings - Custom Action"
  ],
  "resources": [
    "your-customaction-arn"
  ]
}