![【Security Hub修復手順】[ RDS.35 ] RDS DB クラスターでは、マイナーバージョン自動アップグレードを有効にする必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub)
【Security Hub修復手順】[ RDS.35 ] RDS DB クラスターでは、マイナーバージョン自動アップグレードを有効にする必要があります
2024.08.19こんにちは！AWS事業本部のおつまみです。
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？
当エントリでは、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[ RDS.35 ] RDS DB クラスターでは、マイナーバージョン自動アップグレードを有効にする必要があります
[ RDS.35 ] RDS DB clusters should have automatic minor version upgrade enabled
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、DS マルチ AZ DB クラスターでマイナーバージョン自動アップグレードが有効になっているかどうかをチェックします。
メジャーバージョンアップには、既存のアプリケーションとの下位互換性のないデータベースの変更が含まれる場合があります。そのため、メジャーバージョンアップグレードは手動で実行する必要があります。
それに対して、 マイナーバージョンアップには、既存のアプリケーションとの下位互換性があるセキュリティパッチやバグ修正などの変更のみ です。
パッチのインストールを最新の状態に保つことは、システムを保護する上で非常に重要なため、マイナーバージョン自動アップグレードは有効にしましょう。
マイナーバージョンアップの実行タイミングは、RDS作成時に設定する DB インスタンスのメンテナンス期間（メンテナンスウィンドウ） 中に行われます。
また、ダウンタイムの発生など、マイナーバージョン自動アップグレードの挙動は、DBエンジンによって異なるため、一読しておくことをおすすめします。
修復手順
1. 対象のリソースの確認方法
-
AWSマネージメントコンソールにログインし、AWS 基礎セキュリティのベストプラクティス v1.0.0にて、「RDS.35」を検索し、タイトルを選択します。
-
リソースの欄から失敗しているリソースを確認できます。
2. ステークホルダーに確認
- ステークホルダー(リソースの作成者や管理している部署などの関係者)に以下を確認します。
- RDSのマイナーバージョン自動アップグレードを有効にしてよいか
- 指定したメンテナンスウィンドウ時に、マイナーバージョンアップされますが問題なければ、設定を変更します。
- 問題があれば、Security Hubの失敗箇所を
抑制済みにします。
3. マイナーバージョン自動アップグレードを有効
-
対象のリソースで[マイナーバージョン自動アップグレード]が
無効になっていることを確認します。
-
RDSの対象のリソースに対して、[変更]を選択します。
-
[マイナーバージョン自動アップグレードの有効化]にチェックマークをつけて、[続行]を選択します。必要に応じて、メンテナンス期間も調整してください。
-
[変更のサマリー]でマイナーバージョン自動アップグレードのみ変更になっていることを確認し、[変更のスケジュール]で任意のタイミングを選択し、[クラスターの変更]を選択します。
※変更時に再起動は発生しませんので、ご安心下さい。
-
適用後、[マイナーバージョン自動アップグレード]が
有効になっていることを確認します。以上で設定変更は完了です。
-
SecurityHubにて、失敗しているリソースが0になっていること及びステータスが[成功]になっていることを確認します。 ※リソースの更新には数分、ステータスの更新には1日程度かかります。
最後に
今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。
コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
以上、おつまみ（＠AWS11077）でした！
![[アップデート] EBSスナップショットとAMIのゴミ箱保持ルールの適用対象をタグで制御できるようになりました](https://images.ctfassets.net/ct0aopd36mqt/wp-thumbnail-bac3d29aa65f45576f73094798087ee5/039ad6f8a7d8f18da47986d21c447f48/amazon-ec2)
