![【Security Hub修復手順】[MSK.4] MSK クラスターではパブリックアクセスを無効にする必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[MSK.4] MSK クラスターではパブリックアクセスを無効にする必要があります
こんにちは！SREチームの乃万です。
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？
本記事では、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[MSK.4] MSK クラスターではパブリックアクセスを無効にする必要があります
[MSK.4] MSK clusters should have public access disabled
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、Amazon MSK Provisioned クラスターのパブリックアクセスが無効になっているかチェックします。
パブリックアクセスを無効（DISABLED）に設定することで、このコントロールは成功します。
パブリックアクセスが有効な状態では、インターネット上の任意の IPアドレスから Kafka ブローカーへの接続を試みることができます。認証を設定していても、エンドポイントがインターネットに公開されているだけで、ブルートフォース攻撃や既知の脆弱性を利用した不正アクセスのリスクが高まります。Kafka ブローカーへの不正アクセスが成立すると、トピック内のメッセージの盗取や不正メッセージの書き込みが可能になります。
MSK クラスターへのアクセスは、VPC 内のプライベートエンドポイント経由に限定することが必須です。クラスター外部からのアクセスが必要な場合は、AWS PrivateLink や VPN、AWS Direct Connect などのセキュアな接続手段を利用してください。
修復手順
コントロールの確認方法
- Security Hubコンソールを開く
- 左メニューから「検出結果」を選択
- フィルターで「コントロール ID」に
MSK.4を入力して検索する
- ステータスが「Failed」になっているリソースを確認する
ステークホルダーに確認
修復を行う前に、以下の点をステークホルダーに確認してください。
- パブリックアクセス（インターネット経由）で MSK クラスターに接続しているクライアントが存在するか
- パブリックアクセス無効化後、接続先をプライベートエンドポイントに切り替えるための準備が完了しているか
- クラスター設定の更新が完了するまで数分かかるため、メンテナンスウィンドウを設けるか
修復手順
- Amazon MSKコンソール を開く
- 「クラスター」から対象のクラスターを選択する
- 「プロパティ」タブを選択する
- 「ネットワーク設定」セクションを確認し、「パブリックアクセスを編集」をクリックする
- パブリックアクセスを「オフ」に設定し、「変更を保存」をクリックする
- クラスターのステータスが「更新中」から「アクティブ」に戻ることを確認する
修復確認
修復後、Security Hubで検出結果が「PASSED」になることを確認します。
Security Hubの検出結果が更新されるまで時間がかかる場合があります（最大数時間程度）。AWS Config ルール msk-cluster-public-access-disabled が変更を検知してから反映されます。
最後に
今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。
コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
以上、乃万でした！
