【Security Hub修復手順】[DataSync.1] DataSyncタスクではログ記録が有効になっている必要があります

皆さん、お使いのAWS環境のセキュリティチェックはしていますか？

当エントリでは、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。

本記事の対象コントロール

[DataSync.1] DataSyncタスクではログ記録が有効になっている必要があります

[DataSync.1] DataSync tasks should have logging enabled

前提条件

本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。

https://dev.classmethod.jp/articles/lets-learn-aws-security-hub/

https://dev.classmethod.jp/articles/aws-security-operation-with-securityhub-2021/

対象コントロールの説明

本コントロールは、AWS DataSync タスクでログ記録が有効になっているかどうかを確認します。
タスクでログ記録が有効になっていない場合、コントロールは失敗します。

DataSync タスクのログ記録におけるログレベルは、以下のいずれかを選択できます。

• BASIC
  • [転送エラーなどの基本情報をログに記録する] を選択
  • 基本情報 (転送エラーなど) をログに記録します。
• TRANSFER
  • [転送されたすべてのオブジェクトとファイルをログに記録する]を選択
  • DataSync が転送し、データ整合性チェックを実行するすべてのファイルとオブジェクトのログに記録します。
• OFF
  • ログを生成しない

ログレベルの設定が、BASIC/TRANSFER のどちらかに設定されている場合、コントロールは成功します。

https://docs.aws.amazon.com/ja_jp/datasync/latest/userguide/configure-logging.html

ログを有効にすると、CloudWatch Logs に出力されます。追加費用を考慮した上で、有効化してください。

セキュリティ要件でログの取得が必須とされている場合は、必ず有効化してください。

修復手順

1 コントロールの確認方法

1. AWS マネジメントコンソールにログインし、「AWS 基礎セキュリティのベストプラクティス v1.0.0」で「DataSync.1」を検索し、タイトルを選択します。
   
2. リソースの欄から失敗が確認できます。
   

2 ステークホルダーに確認

ステークホルダー（リソースの作成者や管理部署などの関係者）に、以下の点を確認します。

• ログを有効化してよいか
  • 対応しない場合は、その理由を確認し、Security Hubで当該コントロールを「抑制済み」に設定します。

3 ログを有効化する

1. 既存のタスクを選択します
   
2. 編集を行います。
   
3. ログを有効化します。
   

これでログの有効化は完了です。

最後に

今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。

コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！

最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。