【Security Hub修復手順】[S3.8] S3 ブロックパブリックアクセス設定は、バケットレベルで有効にする必要があります

AWS SecurityHub 基礎セキュリティのベストプラクティスコントロール修復手順をご紹介します。

平井裕二

2023.01.30

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、AWS事業本部の平井です。

皆さん、お使いのAWS環境のセキュリティチェックはしていますか？

当エントリでは、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介します。

本記事の対象コントロール

[S3.8] S3 ブロックパブリックアクセス設定は、バケットレベルで有効にする必要があります

[S3.8] S3 Block Public Access setting should be enabled at the bucket level

本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容です。 AWS Security Hubの詳細についてはこちらのブログをご覧ください。

今回の対象コントロールは、「S3 ブロックパブリックアクセス設定は、バケットレベルで有効にする必要があります」になります。

S3 ブロックパブリックアクセス設定は、「意図しないS3バケットの公開」を未然に防ぐための機能になります。

ブロックパブリックアクセスには 4 つの設定があります。

BlockPublicAcls
- パブリックアクセス許可するACLの新規作成や設定変更をブロックします
IgnorePublicAcls
- パブリックアクセス許可するすべてのACLの設定を無視します。
BlockPublicPolicy
- パブリックアクセスを許可する新しいバケットポリシー設定をブロックします。BlockPublicAclsのバケットポリシー版ですね。
RestrictPublicBuckets
- バケットポリシーで設定したパブリックアクセスとクロスアカウントアクセスをブロックします。IgnorePublicAclsのバケットポリシー版です。

上記の4つの設定を無効にした場合、意図せずS3のバケットやオブジェクトを公開してしまう可能性があります。意図しない公開を防ぐためにも、有効化しましょう。

ただし、意図してS3のバケットを公開する場合は、抑制済みにして頂いて構いません。

**S3 ブロックパブリックアクセス設定は、あくまでも「意図しないS3バケットの公開」を未然に防ぐための機能ですので、公開が必要な場合は、バケットポリシーで最低限の範囲・権限に絞った上で抑制済みにして下さい。****

ステークホルダー(リソースの作成者や管理している部署などの関係者)に以下を確認します。

S3バケットのブロックパブリックアクセス設定は、有効にしてよいか
- パブリックアクセスの用途があり、有効にしてはならない場合、抑制済みにします。
  - バケットポリシーで最低限の範囲・権限に絞った上で抑制済みにしましょう。
- 有効にして良い場合、[3 ブロックパブリックアクセス設定を有効にする]の作業をしてください。

※設定変更後、業務に影響が出る可能性があります。そのため、社内で注意深く確認し対応して下さい。

これで、誤ったバケット公開を防ぐことができました！

今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。

コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！

最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。

以上、平井でした！