【Security Hub修復手順】[ RDS.35 ] RDS DB クラスターでは、マイナーバージョン自動アップグレードを有効にする必要があります

AWS SecurityHub 基礎セキュリティのベストプラクティスコントロール修復手順をご紹介します。

AWS Security Hub 基礎セキュリティのベストプラクティスコントロール修復手順

おつまみ

2024.08.19

こんにちは！AWS事業本部のおつまみです。

皆さん、お使いのAWS環境のセキュリティチェックはしていますか？

当エントリでは、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。

本記事の対象コントロール

[ RDS.35 ] RDS DB クラスターでは、マイナーバージョン自動アップグレードを有効にする必要があります

[ RDS.35 ] RDS DB clusters should have automatic minor version upgrade enabled

本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。

このコントロールは、DS マルチ AZ DB クラスターでマイナーバージョン自動アップグレードが有効になっているかどうかをチェックします。

メジャーバージョンアップには、既存のアプリケーションとの下位互換性のないデータベースの変更が含まれる場合があります。そのため、メジャーバージョンアップグレードは手動で実行する必要があります。

それに対して、 マイナーバージョンアップには、既存のアプリケーションとの下位互換性があるセキュリティパッチやバグ修正などの変更のみ です。

パッチのインストールを最新の状態に保つことは、システムを保護する上で非常に重要なため、マイナーバージョン自動アップグレードは有効にしましょう。

マイナーバージョンアップの実行タイミングは、RDS作成時に設定する DB インスタンスのメンテナンス期間（メンテナンスウィンドウ） 中に行われます。

また、ダウンタイムの発生など、マイナーバージョン自動アップグレードの挙動は、DBエンジンによって異なるため、一読しておくことをおすすめします。

RDSのマイナーバージョン自動アップグレードを有効にしてよいか
- 指定したメンテナンスウィンドウ時に、マイナーバージョンアップされますが問題なければ、設定を変更します。
- 問題があれば、Security Hubの失敗箇所を抑制済みにします。

対象のリソースで[マイナーバージョン自動アップグレード]が無効になっていることを確認します。
RDSの対象のリソースに対して、[変更]を選択します。
[マイナーバージョン自動アップグレードの有効化]にチェックマークをつけて、[続行]を選択します。必要に応じて、メンテナンス期間も調整してください。
[変更のサマリー]でマイナーバージョン自動アップグレードのみ変更になっていることを確認し、[変更のスケジュール]で任意のタイミングを選択し、[クラスターの変更]を選択します。

適用後、[マイナーバージョン自動アップグレード]が有効になっていることを確認します。以上で設定変更は完了です。
SecurityHubにて、失敗しているリソースが0になっていること及びステータスが[成功]になっていることを確認します。 ※リソースの更新には数分、ステータスの更新には1日程度かかります。