![【Security Hub修復手順】[ELB.22] ELB ターゲットグループは暗号化されたトランスポートプロトコルを使用する必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[ELB.22] ELB ターゲットグループは暗号化されたトランスポートプロトコルを使用する必要があります
こんにちは！クラウド事業本部のグムです。
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？
本記事では、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[ELB.22] ELB ターゲットグループは暗号化されたトランスポートプロトコルを使用する必要があります
[ELB.22] ELB target groups should use encrypted transport protocols
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、Elastic Load Balancingのターゲットグループが、暗号化されたトランスポートプロトコルを使用しているかをチェックします。
ロードバランサーがターゲットへトラフィックを転送する際のプロトコルがHTTPS、TLS、QUICのいずれかで設定する必要があります。
なお、ターゲットタイプがLambdaまたはApplication Load Balancerのターゲットグループ、およびGENEVEプロトコルを使用するターゲットグループは、このコントロールの対象外です。
ターゲットグループの通信は、同一VPC内のプライベートネットワークを介してロードバランサーとターゲットの間で行われます。プライベートネットワークであっても、非暗号化プロトコルを使用していると、ロードバランサーとターゲット間で転送されるデータが傍受・盗聴される恐れがあります。また、攻撃者による中間者攻撃のリスクもあります。
転送中のデータの機密性と完全性を保護するため、ターゲットグループには暗号化されたプロトコルを使用することを推奨します。
修復手順
ターゲットグループのプロトコルは、作成後に変更できません。
そのため本コントロールの修復は、暗号化されたプロトコルで新しいターゲットグループを作成し、ロードバランサーのルーティング先を切り替える流れになります。
ステークホルダーに確認
修復を行う前に、以下の点をステークホルダーに確認してください。
- ターゲット（EC2インスタンス等）が暗号化プロトコル（ALBの場合はHTTPS、NLBの場合はTLS）での受信に対応しているか
- ターゲット側にサーバー証明書が導入されているか（HTTPS/TLSで受信するために必要）
- ターゲットグループの切り替え時に、瞬断や接続影響が許容されるメンテナンスウィンドウを確保できるか
- 対象のターゲットグループがどのロードバランサー・リスナーに関連付けられているか
修復手順
ここではApplication Load Balancerのターゲットグループを、HTTPからHTTPSへ切り替える例を紹介します。
Network Load Balancerの場合は、プロトコルをTLSに読み替えてください。
-
Amazon EC2コンソールを開く
-
左メニューの「ロードバランシング」から「ターゲットグループ」を選択
-
「ターゲットグループの作成」を選択
-
既存の設定はそのまま引き継ぎ、ターゲットグループのプロトコルだけをHTTPSに変更しターゲットグループを作成します。
-
作成したターゲットグループに、既存と同じターゲットを登録
-
対象のロードバランサーのリスナー（またはリスナールール）を編集し、転送先を新しいターゲットグループに変更
-
新しいターゲットグループのヘルスチェックが正常（healthy）になり、トラフィックが正しく流れることを確認
-
問題がなければ、非暗号化プロトコルの古いターゲットグループを削除
最後に
今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。
コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
以上、グムでした！
