![【Security Hub修復手順】[S3.24] S3マルチリージョンアクセスポイントは、パブリックアクセスのブロック設定を有効にする必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[S3.24] S3マルチリージョンアクセスポイントは、パブリックアクセスのブロック設定を有効にする必要があります
こんにちは！SREチームの乃万です。
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？
本記事では、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[S3.24] S3マルチリージョンアクセスポイントは、パブリックアクセスのブロック設定を有効にする必要があります
[S3.24] S3 Multi-Region Access Points should have block public access settings enabled
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、S3マルチリージョンアクセスポイント（MRAP）のブロックパブリックアクセス設定が有効になっているかチェックします。以下の4つの設定がすべて有効になっていることで、このコントロールは成功します。
- 新しいACLを使用したパブリックアクセスのブロック
- 任意のACLを使用したパブリックアクセスのブロック
- 新しいパブリックバケットポリシーを使用したパブリックアクセスのブロック
- パブリックポリシーを持つバケットへのパブリックアクセスとクロスアカウントアクセスのブロック
S3バケット作成時と同様に、MRAPもデフォルトでブロックパブリックアクセス設定が有効になっています。意図せず無効化されたMRAPがないか確認してください。
注意点: MRAPはブロックパブリックアクセス設定を作成後に変更できません。設定を修正するには、MRAPを削除して再作成する必要があります。
ブロックパブリックアクセスが無効の状態では、誤ったバケットポリシーやACLの設定によって、S3バケット内のオブジェクトが意図せずインターネットに公開されるリスクがあります。MRAP経由でのデータへの不正アクセスや情報漏洩を防ぐために、ブロックパブリックアクセスの有効化は必須です。
修復手順
コントロールの確認方法
注意: S3.24はすべてのリージョンで利用できるわけではありません。検出結果が表示されない場合は、us-west-2のSecurity Hubで確認してください。
- Security Hubコンソールを開く
- 左メニューから「検出結果」を選択
- フィルターで対象のコントロールID「S3.24」を検索
検出結果から、ブロックパブリックアクセスが無効になっているMRAPのARNを確認します。
ステークホルダーに確認
修復を行う前に、以下の点をステークホルダーに確認してください。
- 対象のMRAPが現在使用中かどうか（削除・再作成による影響範囲）
- MRAPに紐付いているS3バケット構成（再作成時に同じ設定で再現できるか）
- MRAPを参照しているアプリケーションやサービスの有無（再作成後もARNが変わるため影響が出る場合がある）
- 削除・再作成作業のメンテナンスウィンドウ
現在の設定確認
- S3コンソールを開く
- 左メニューから「マルチリージョンアクセスポイント」を選択
- 対象のMRAP名を選択
- 「ブロックパブリックアクセス設定」タブを選択し、現在の設定を確認する
修復手順
MRAPのブロックパブリックアクセス設定は作成後に変更できないため、削除して再作成します。
Step 1: 現在のMRAP設定を記録する
再作成時に必要な情報を事前にメモしておきます。
- 対象のMRAPの「プロパティ」タブを開く
- 以下の情報を記録する
- MRAP名
- 紐付いているS3バケットとリージョン
Step 2: MRAPを削除する
- 「マルチリージョンアクセスポイント」一覧に戻る
- 対象のMRAPにチェックを入れ、「削除」を選択
- 確認ダイアログにMRAP名を入力して「削除」をクリック
削除はバックグラウンドで処理されます。ステータスが「削除中」から消えるまで待ちます。
Step 3: MRAPを再作成する（ブロックパブリックアクセスを有効にする）
-
「マルチリージョンアクセスポイントを作成」をクリック
-
Step 1で記録した設定（名前・バケット）を入力する
-
「ブロックパブリックアクセス設定」セクションで、以下の4項目すべてにチェックが入っていることを確認する
- 新しいアクセスコントロールリスト（ACL）を使用して付与されたバケットとオブジェクトへのパブリックアクセスをブロックする
- 任意のアクセスコントロールリスト（ACL）を使用して付与されたバケットとオブジェクトへのパブリックアクセスをブロックする
- 新しいパブリックバケットポリシーを使用して付与されたバケットとオブジェクトへのパブリックアクセスをブロックする
- バケットがパブリックポリシーを保有している場合に、バケットとオブジェクトへのパブリックアクセスとクロスアカウントアクセスをブロックする
- 「作成」をクリック
作成もバックグラウンド処理のため、ステータスが「作成中」から「準備完了」になるまで待ちます。
修復確認
修復後、Security Hubで検出結果が「PASSED」になることを確認します。
注意: S3.24はChange triggered（変更時評価）のため、修復後に比較的早く検出結果が更新されます。
最後に
今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。
コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
以上、乃万でした！
