![【Security Hub修復手順】[NetworkFirewall.10] Network Firewall ファイアウォールはサブネット変更保護を有効にする必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[NetworkFirewall.10] Network Firewall ファイアウォールはサブネット変更保護を有効にする必要があります
こんにちは！コンサルティング部のみゃんです。
もうすぐ秋ですね！
私はパーソナルジムを契約したので運動の秋になりそうです！
ところで皆さん、お使いのAWS環境のセキュリティチェックはしていますか？
本記事では、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[NetworkFirewall.10] Network Firewall ファイアウォールはサブネット変更保護を有効にする必要があります
[NetworkFirewall.10] Network Firewall firewalls should have subnet change protection enabled
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、AWS Network Firewallのファイアウォールで「サブネット変更保護（Subnet change protection）」が有効になっているかチェックします。ファイアウォールでサブネット変更保護を有効にすると、このコントロールは成功します。
サブネット変更保護は、ファイアウォールに関連付けられているサブネットの追加・削除・変更を、意図しない操作から保護するための設定です。ファイアウォールを新規作成すると、この設定はデフォルトで有効になっています。
サブネット変更保護が無効な状態では、誤操作によってファイアウォールのサブネット関連付けが変更・削除される可能性があります。サブネット関連付けが変更されると、該当するアベイラビリティーゾーンの通信がファイアウォールによる検査を経由しなくなり、意図しない通信の素通りやサービス影響が発生するおそれがあるため、本番環境では対応必須です。
本番以外の環境では、構築中や動作検証中にサブネット構成を頻繁に見直すケースがあります。サブネット変更保護を有効にしたままだと、変更のたびに保護を一時的に無効化する手間が発生するため、構成が固まるまでは対応必須ではありません。
修復手順
コントロールの確認方法
- Security Hubコンソールを開く
- 左メニューから「検出結果」を選択
- フィルターで対象のコンプライアンスセキュリティコントロールID「NetworkFirewall.10」を検索
ステークホルダーに確認
修復を行う前に、以下の点をステークホルダーに確認してください。
- 対象のファイアウォールで、近々サブネットの追加・削除・変更予定がないか（サブネット変更保護を有効にすると、変更のたびに一時的な無効化が必要になるため）
- 現在のサブネット関連付け（アベイラビリティーゾーンとサブネットの組み合わせ）が意図した構成になっているか
修復手順
- Amazon VPCコンソールを開く
- 左メニューの「Network Firewall」から「ファイアウォール」を選択
- 対象のファイアウォール名を選択
- 「ファイアウォールの詳細」タブを選択し、「変更保護」セクションで「編集」を選択
今はサブネットの変更保護が無効に設定されていることが分かりますね。
- 「サブネットの変更保護」のチェックボックスを有効にする
- 「保存」を選択
なお、AWS CLIから設定する場合は、update-subnet-change-protectionコマンドで同様の変更が可能です。
修復確認
修復後、Security Hubで検出結果が「PASSED」になることを確認します。
検出には時間がかかることもありますが、私の環境では修正から数分で検知され、「PASSED」になりました。
最後に
今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。
コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
以上、みゃんでした！
