【Security Hub修復手順】[DocumentDB.1] Amazon DocumentDB クラスターは、保管時の暗号化を有効にする必要があります

こんにちは！AWS事業本部のおつまみです。

皆さん、お使いのAWS環境のセキュリティチェックはしていますか？

当エントリでは、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。

本記事の対象コントロール

[DocumentDB.1] Amazon DocumentDB クラスターは、保管時の暗号化を有効にする必要があります

[DocumentDB.1] Amazon DocumentDB clusters should be encrypted at rest

前提条件

本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。

https://dev.classmethod.jp/articles/lets-learn-aws-security-hub/

https://dev.classmethod.jp/articles/aws-security-operation-with-securityhub-2021/

対象コントロールの説明

このコントロールは、Amazon DocumentDB クラスターが保管中に暗号化されているかどうかをチェックします。Amazon DocumentDB クラスターが保管中に暗号化されていない場合、コントロールは失敗します。

データ管理はユーザー側の責任であるため、保管時の暗号化は必須です。
これを行わない場合、データ管理の責任を放棄することになります。
このため、本番環境の場合、保管時の暗号化を有効化することを検討します。

一方、重要データを扱わない本番環境以外の場合は、必ずしも有効にする必要はありません。そのような場合は、コントロールを抑制済みに設定してください。

修復手順

1. 対象のリソースの確認方法

1. AWSマネージメントコンソールにログインし、AWS 基礎セキュリティのベストプラクティス v1.0.0にて、「DocumentDB.1」を検索し、タイトルを選択します。
   

2. リソースの欄から失敗しているリソースを確認できます。
   

2. ステークホルダーに確認

1. ステークホルダー(リソースの作成者や管理している部署などの関係者)に以下を確認します。

• 暗号化が無効のクラスターをバックアップし、暗号化を有効にしたクラスターを再作成してよいか

難しい場合、抑制済みにします。

3. クラスターの暗号化

既存のクラスターを直接暗号化することはできません。
そのため、スナップショットを作成し、新しいクラスターとして復元する際に保存時の暗号化オプションを指定する方法をご紹介します。

1. Document DBのスナップショットを取得するため、[作成]を選択します。
   

2. クラスター識別子・スナップショット識別子を入力し、[作成]を選択します。
   

3. スナップショットのステータスがAvailableになった後、[アクション]→[復元]を選択します。
   

4. 設定画面にて、保管時の暗号化にチェックを入れます。それ以外の設定項目も既存のクラスターに合わせてください。
   

5.復元後、クラスターの暗号化が有効になっていることを確認します。これで新規クラスターは暗号化が有効になりました。

6.クラスターのエンドポイントを合わせるために、既存のクラスターを削除し、復元したクラスターの識別子を修正します。既存のクラスターを選択し、[削除]を選択します。

7. 削除されたことを確認後、復元したクラスターを選択し、[変更]を選択します。
   

8. クラスター識別子を既存のクラスターの識別子に変更します。
   

9. インスタンスも識別子を変更します。インスタンスを選択し、[変更]を選択します。
   

10. インスタンス識別子を既存のクラスターの識別子に変更します。
    

11. 識別子が変更されたことを確認します。確認後、DBに接続できることを確認します。
    

12. SecurityHubにて、失敗しているリソースが0になっていること及びステータスが[成功]になっていることを確認します。 ※リソースの更新には数分、ステータスの更新には1日程度かかります。

最後に

今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。

コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！

最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。

以上、おつまみ（＠AWS11077）でした！