【Security Hub修復手順】[S3.3] S3 バケットはパブリック書き込みアクセスを禁止する必要があります

AWS SecurityHub 基礎セキュリティのベストプラクティスコントロール修復手順をご紹介します。

AWS Security Hub 基礎セキュリティのベストプラクティスコントロール修復手順

おつまみ

2022.12.07

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは！AWS事業本部のおつまみです。

皆さん、お使いのAWS環境のセキュリティチェックはしていますか？

当エントリでは、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介します。

本記事の対象コントロール

[S3.3] S3 バケットはパブリック書き込みアクセスを禁止する必要があります

[S3.3] S3 buckets should prohibit public write access

本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。 AWS Security Hubの詳細についてはこちらのブログをご覧ください。

このコントロールは、ブロックパブリックアクセス設定、バケットポリシー、およびバケットアクセスコントロールリスト (ACL) を評価し、S3 バケットがパブリック書き込みアクセスを許可するかどうかをチェックします。

S3 バケットが意図せずパブリックに公開されていた場合、保存されているファイルへの意図しない書き込み操作が発生する可能性があります。意図しない書き込み操作を防止するためにも、可能な限り対応しましょう。　

意図してパブリックの書き込みを許可しているか？
- 意図して許可している場合、抑制済みで登録して下さい。
  対応可能であれば、S3 で公開しているコンテンツを、CloudFront からのアクセスのみに制限するOrigin Access Control (OAC)を使用することを推奨いたします。
  実施方法はこちらのブログを参考にして下さい。

・上記ブログでは、S3バケットを新規で作成しておりますが、既に作成済みのS3バケットに適用する場合は作成不要です。

・バケットポリシーの変更が必要になります。バケットポリシーはIAMポリシー・Access Control List（ACL）より権限が強いため、変更には十分注意して下さい。

意図して許可していない。つまりパブリックの書き込みが不要な場合、[2. 設定変更]手順に従い、S3 バケットを更新してパブリックアクセスを削除します。
※設定変更後にインターネット経由でS3バケットの書き込みができなくなります。万一設定が必要だった場合に、業務影響が出てしまいます。そのため、社内で注意深く確認して下さい。

AWS 基礎セキュリティのベストプラクティス v1.0.0にて、「S3.3」を検索します。タイトルを選択します。
失敗しているS3バケットを選択します。
[アクセス許可]タブを選択し、[ブロックパブリックアクセス (バケット設定)]で[編集] を選択します。
[パブリックアクセスをすべてブロック] を選択します。次に、[変更の保存]を選択します。
確認画面が表示されたら、確認を入力して[確認]を選択します。
[アクセス許可の概要]でアクセスが[非公開のバケットとオブジェクト]になっていること、[パブリックアクセスをすべてブロック] で[オン]になっていることを確認します。
SecurityHubにて、失敗しているリソースが0になっていること及びステータスが[成功]になっていることを確認します。 ※リソースの更新には数分、ステータスの更新には1日程度かかります。