![【Security Hub修復手順】[S3.19] S3 アクセスポイントでは、ブロックパブリックアクセス設定を有効にする必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[S3.19] S3 アクセスポイントでは、ブロックパブリックアクセス設定を有効にする必要があります
こんにちは！クラスメソッドオペレーションズの菊池です。
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？
本記事では、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[S3.19] S3 アクセスポイントでは、ブロックパブリックアクセス設定を有効にする必要があります
[S3.19] S3 access points should have block public access settings enabled
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、S3アクセスポイントでブロックパブリックアクセス設定が有効になっているかチェックします。
アクセスポイント作成時にブロックパブリックアクセス設定の4項目をすべて有効にすると、このコントロールは成功します。
S3アクセスポイントは、S3バケットへのアクセス経路を個別に定義できる機能です。バケット本体とは別に、アクセスポイントごとに独立したブロックパブリックアクセス設定を持つことができます。
アクセスポイント・バケット・アカウントの3階層それぞれでブロックパブリックアクセス設定を持ち、いずれか1つでも制限を有効にしていればリクエストはブロックされます（設定は加算的に働き、より厳しい設定が優先されます）。ただし、アクセスポイント側の設定を無効にしていると、バケットやアカウント側の設定が緩い場合にアクセスポイント経由での公開アクセスを防げなくなります。
意図的にアクセスポイントを公開設計にする場合を除き、ブロックパブリックアクセス設定は有効にしてください。
修復手順
コントロールの確認方法
- Security Hubコンソールを開く
- 左メニューから「検出結果」を選択
- フィルターで対象のコントロールID「S3.19」を検索
ステークホルダーに確認
修復を行う前に、以下の点をステークホルダーに確認してください。
S3アクセスポイントは作成後にブロックパブリックアクセス設定を変更できません。そのため修復には、対象のアクセスポイントを削除し、ブロックパブリックアクセス設定を有効にした状態で作り直す必要があります。
- 対象のアクセスポイントを参照しているアプリケーションやIAMポリシー、バケットポリシーの有無
- アクセスポイントのARN（またはエイリアス）を直接参照している箇所があるか（削除・再作成でARNが変わるため、参照箇所すべての更新が必要）
- アクセスポイントに設定されているポリシーやVPC制限（VPC限定のアクセスポイントかどうか）の事前確認
- 切り替え作業を行うメンテナンスウィンドウ
修復手順
- Amazon S3コンソールを開き、左メニューから「アクセスポイント」を選択
- 対象のアクセスポイントを選択し、「プロパティ」タブで以下の設定内容を控える
- データソース（紐付け先のバケット名）
- ネットワークオリジン（インターネット / VPC）
- 「アクセス許可」タブを開き、アクセスポイントポリシーの内容を控える。現在のブロックパブリックアクセス設定もこのタブで確認できる
- 対象のアクセスポイントを削除する
- 「アクセスポイントの作成」から、控えておいた設定内容で新しいアクセスポイントを作成する。このとき、「ブロックパブリックアクセス（バケットの設定）」はすべての項目を有効のままにする（新規作成時はデフォルトで4項目すべて有効）
- 控えておいたアクセスポイントポリシーを再設定する
- アプリケーションやIAMポリシー等でアクセスポイントのARN・エイリアスを参照している箇所を、新しいアクセスポイントの値に更新する
修復確認
修復後、Security Hubで検出結果が「PASSED」になることを確認します。
最後に
今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。
コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
以上、菊池でした！
