Security Hubの中央設定(Central Configuration)で気になる部分を調べてみた #AWSreInvent

AWS re:Invent 2023

#AWS Security Hub

#AWS

たかやま

2023.12.17

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは。たかやまです。

Security Hubの中央設定(Central Configuration)について個人的に気になる動作を検証してみたので、今回その内容をお伝えします。

さきにまとめ

中央設定はホームリージョンでしか設定できないが、他リージョンにも適用されるのか？
- 検出結果の集約で設定しているリージョンに対して適用される
ポリシーを更新すると動的に適用されるのか？
- ポリシーを更新すると、適用されているポリシーは動的に更新される
- (更新に限らず)ポリシー設定は、既存アカウントのSecurity Hub設定を上書きするため既存アカウントでカスタマイズしている場合はポリシーで上書きして問題ないか確認が必要
OrganizationsOUへのポリシー適用をすればOU転入時に自動で設定されるのか？
- OU転入時はOUに適用されているポリシーが自動で設定される
- OUから脱退した場合は設定のリセットは行われない
  - 脱退先がセルフマネージドであれば、転入時のポリシーで設定されたSecurity Hub設定が残る
  - 脱退先がポリシーを適用されたOUであれば、転入先OUのポリシーで上書きされる
ポリシーを適用されているメンバーアカウントからSecurity Hubの設定変更はできるのか？
- セキュリティ基準とコントロールの設定変更はできない
- ワークフローの変更はできるのでメンバーアカウントで個別に抑制したい項目がある場合はワークフローを利用する
ポリシーを外すとポリシーで設定した内容はどうなるのか？
- ポリシーを外すと、ポリシーで設定した際の内容がそのまま残る
Security Hub無効化を組織全体に適用するとどうなるのか？
- 中央設定を適用しているSecurity Hub管理アカウントは無効化されない
- それ以外のアカウントはSecurity Hubが無効化される
中央設定を有効にした場合の招待アカウントへの影響は？
- 中央設定有効化による招待アカウントの招待解除のような影響はない
- 中央設定ポリシーは招待アカウントには適用されないため個別に設定が必要
中央設定のポリシー継承ルールはどうなっているのか？
- ポリシーはAND条件で評価はされず、優先度の高い1つのポリシーのみ適用される
- ポリシーは「アカウント > 子OU > 親OU」の優先度順で適用される
  - 同じ優先度のポリシーが適用された場合、後から適用したポリシーが上書きされる
- OUにポリシーを適用している状態から、単一アカウントのポリシーを外す場合はセルフマネージドポリシーを適用する

調べてみる

中央設定はホームリージョンでしか設定できないが、他リージョンにも適用されるのか？

いままでSecurity Hubを各リージョンで設定する場合、リージョンごとに設定作業を行う必要がありました。ただ、この中央設定はホームリージョンでのみ設定できる機能のため、他リージョンにも適用されるのか気になりました。

結論から言うと、中央設定の設定範囲はリージョンの検出結果の集約の設定に依存します。

Linked Region
An AWS Region that is configurable from the home Region. Configuration policies are created by the delegated administrator in the home Region. The policies take effect in the home Region and all linked Regions. You must specify at least one linked Region to use central configuration.

A linked Region also sends findings, insights, and other data to the home Region.

Regions that AWS introduced on or after March 20, 2019 are known as opt-in Regions. You must enable such a Region for an account before a configuration policy can be applied to it. The Organizations management account can enable opt-in Regions for a member account. For more information, see Specify which AWS Regions your account can use in the AWS Account Management Reference Guide.
Central configuration in Security Hub - AWS Security Hub

実際に確認してみます。
検出結果の集約は集約リージョンにap-northeast-1(東京)を指定し、リンクされたリージョンはus-east-1(バージニア北部)を指定しています。

この状態で各リージョンの中央設定の状況を確認してみます。

こちらはap-northeast-1とus-east-1の設定です。

us-east-1でも中央設定の内容を確認することができますが、設定の変更はホームリージョンで行うように案内されています。

リンクされたリージョンに指定していないap-northeast-3(大阪)は従来どおりのアカウント管理の設定画面のままになっています。

いままでリージョンごとに集約設定を行う必要があったので、ホームリージョンで中央設定の設定を行えば各リージョンの設定を管理できるは便利ですね。

ポリシーを更新すると動的に適用されるのか？

次にポリシー中央設定のポリシーを更新したときに、適用しているポリシーは動的に更新されるのか確認してみたいと思います。

最初はAWS 基礎セキュリティのベストプラクティス v1.0.0(以降FSBP)のみ有効化するポリシーを管理アカウントに適用しています。

ポリシー適用後の設定はこちらです。
FSBPのみ有効化されていることが確認できます。

この状態からセキュリティ基準をOFFにするポリシーを適用してみます。

するとアカウント設定をオーバーライドする注意書きが表示されます。

ポリシーを保存すると、適用が開始されます。

私の環境ではすぐに適用が完了しましたが、場合によっては最大24時間適用に時間がかかるとのことです。

The StartConfigurationPolicyAssociation API returns a field called AssociationStatus. This field tells you whether a policy association is pending or in a state of success or failure. It can take up to 24 hours for the status to change from PENDING to SUCCESS or FAILURE. For more information about association status, see Association status of a configuration.
Updating Security Hub configuration policies - AWS Security Hub

ポリシーを更新したことで、FSBPが無効化されていることが確認できました。

オーバーライドの記載からもわかるとおり、既存アカウント側で既にSecurity Hubの設定を行っている場合などは、ポリシーで上書きされる点は注意が必要です。

OrganizationsOUへのポリシー適用をすればOU転入時に自動で設定されるのか？

次にOUにポリシーを適用したときに、OU転入時に自動でポリシーが適用されるのか確認してみたいと思います。

さきほどのFSBPのポリシーをSandboxOUに適用し、Sub１アカウントをSandboxOUに転入してみます。

OrganizationsでOU転入を実施します。

OU移動後、中央設定の内容を再度確認してみます。
SandboxOUに入ったSub1アカウントが継承済みになっており、中央設定のポリシーが適用されていることが確認できます。

今度はOUから脱退したときに設定がどうなるのか確認してみます。

OrganizationsでSandboxOUからSub1アカウントを脱退させたあと、中央設定の内容を確認してみます。

ポリシーの継承はなくなり、セルフマネージドになっていることが確認できます。

ただ、Sub1アカウントの実際の設定を見てみると分かる通り、SandboxOUで適用されたポリシーの設定はそのまま残っています。

脱退先で別のOUに入った場合は脱退先のOUのポリシーで上書きされますが、今回のようにセルフマネージドのOUに入った場合はポリシーがそのままになる点は考慮が必要そうです。

ポリシーを適用されているメンバーアカウントからSecurity Hubの設定変更はできるのか？

次にポリシーから適用しているアカウントのSecurity Hubの設定を変更できるのか気になったので確認してみました。

結論から言うと、ポリシーを適用されているアカウントからSecurity Hubのセキュリティ基準やコントロール設定を変更することはできません。

こちらは中央設定で有効化されたFSBPを無効化しようとしたときのエラーです。

Error disabling standards arn:aws:securityhub:ap-northeast-1:xxxxxxxxxxxx:subscription/aws-foundational-security-best-practices/v/1.0.0: xxxxxxxxxxxx is managed by a configuration policy