【アップデート】AWS Security Hub の『基礎セキュリティのベストプラクティス』に新たに2個のチェック項目が追加されました

#AWS

#AWS Security Hub

あしざわ

2023.05.08

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

みなさん、こんにちは。

明るい笑顔がトレードマーク、ルイボスティーが大好きな芦沢(＠ashi_ssan)です。

みなさん、Security Hubの運用されていますか？

AWS Security Hubの『AWS 基礎セキュリティのベストプラクティス v1.0.0』に新たに 2個のチェック項目(コントロール)が追加されました。

AWS公式ブログでのアナウンスはありませんが、Security Hub公式ドキュメントのDocument Historyから以下の更新を確認できました。

The following new Security Hub controls are available. Some controls have Regional limitations

[EKS.1] EKS cluster endpoints should not be publicly accessible

[ELB.16] Application Load Balancers should be associated with an AWS WAF web ACL

[Redshift.10] Redshift clusters should be encrypted at rest

[S3.15] S3 buckets should be configured to use Object Lock

今回『AWS 基礎セキュリティのベストプラクティス v1.0.0』に追加されたのはこのうちの2つである以下コントロールになります。

本エントリでは、新規追加されたコントロールの情報をまとめたものを簡単なコメント付きで紹介していきます。

EKS

[EKS.1] EKS クラスターエンドポイントはパブリックにアクセス可能であってはなりません

重要度: 高（HIGH）

AWSドキュメント: https://docs.aws.amazon.com/securityhub/latest/userguide/eks-controls.html#eks-1

コメント:

EKSのAPIサーバーへのアクセスはAWS IAMとネイティブのネイティブのKubernetes Role Based Access Control(RBAC)との組み合わせで保護されます。本コントロールに準拠すると、これらの設定に不備があった際の防御が可能です。
パブリックアクセス設定に追加してIPアドレス制限を設定できますが、そのままアクセス制限を設定するとノードグループが作成できない等の問題が発生します。問題を回避するために、以下のどちらかの方法をとってください。
- 1. ノードグループやFargateからのアクセスを許可する(NAT GatewayのIPアドレス等)
- 1. APIサーバーエンドポイントの「パブリックアクセス」に加えて、「プライベートアクセス」も有効にする
- 詳しくは以下ブログをご覧になってください
  - [アップデート] EKSでパブリックエンドポイントへのIPアドレスによるアクセス制限が可能になりました | DevelopersIO
先述した対策をしてもパブリックアクセス設定が有効だとコントロールは違反状態のままなので、対策後はコントロールを抑制してください

Redshift

[Redshift.10] Redshift クラスターは保存時に暗号化する必要があります

重要度: 中（MEDIUM）

AWSドキュメント: https://docs.aws.amazon.com/securityhub/latest/userguide/redshift-controls.html#redshift-10

コメント:

権限のないユーザーがディスクに保存されたデータへアクセスできてしまうリスクを軽減できるため、対応は必須です。
クラスターの設定を暗号化する設定に変更すると、Redshiftのデータは暗号化されたクラスターに自動移行されます。データ移行中はクラスターが読み取り専用になるため、クラスターへの書き込みが発生しないタイミングで設定変更を行なってください。
暗号化キーにKMSを利用し、デフォルトのRedshiftキーを指定した場合、追加のコストは発生しません。