はじめに

Amazon API Gateway

[APIGateway.5] API Gateway REST APIのキャッシュデータは静止時に暗号化されるべきである

Amazon EC2

[EC2.19] セキュリティグループは、リスクの高いポートへの無制限のアクセスを許可してはならない

Amazon ECS

[ECS.2] Amazon ECSサービスは、パブリックIPアドレスを自動的に割り当ててはいけません

Elastic Load Balancing

[ELB.7] Classic Load Balancer では Connection Draining を有効にする必要があります

(new) Amazon SQS

[SQS.1] Amazon SQSのキューは静止時に暗号化されるべきである

Amazon Redshift

[Redshift.4] Amazon Redshiftクラスターは監査ログを有効にする必要があります

Amazon Elasticsearch Service

[ES.5] Elasticsearchドメインは監査ログを有効にすべきである

[ES.6] Elasticsearchドメインは少なくとも3つのデータノードを持つべきである

[ES.7] Elasticsearchドメインには、少なくとも3つの専用マスターノードを設定する必要がある

[ES.8] Elasticsearchドメインへの接続はTLS 1.2で暗号化すべきである

Amazon RDS

[RDS.16] RDS DBクラスターは、スナップショットにタグをコピーするように構成されるべきである

[RDS.17] RDS DBインスタンスは、スナップショットにタグをコピーするように設定する必要があります。

[RDS.18] RDSインスタンスはVPC内に配置すべきである

[RDS.19] RDSイベント通知で『重要なクラスターイベント』を設定する必要があります

[RDS.20] RDSイベント通知で『重要なデータベースインスタンスイベント』を設定する必要があります

[RDS.21] RDSイベント通知で『重要なデータベースパラメータグループイベント』を設定する必要があります

[RDS.22] RDSイベント通知で『重要なデータベースセキュリティグループイベント』を設定する必要があります

[RDS.23] RDSのデータベースとクラスタは、データベースエンジンのデフォルトポートを使用してはいけません

おわりに

AWS Security Hub の『基礎セキュリティのベストプラクティス』に追加された 18個のコントロールを見てみる【2021/08アップデート】

APIGW +1, EC2 +1, ECS +1, ELB +1, SQS(new!) +1, Redshift +1, ES +4, RDS +8

#AWS Security Hub

#AWS

川原征大

2021.08.23

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

2021/08/18 に Security Hub の『基礎セキュリティのベストプラクティス』に新しくコントロールが追加された、とアナウンスされました。

AWS Security Hub has released 18 new controls for its Foundational Security Best Practice standard to enhance customers’ cloud security posture monitoring. These controls conduct fully-automatic checks against security best practices for Amazon API Gateway, Amazon EC2, Amazon ECS, Elastic Load Balancing, Amazon Elasticsearch Service, Amazon RDS, Amazon Redshift, and Amazon SQS.

– 引用: AWS Security Hub adds 18 new controls to its Foundational Security Best Practices standard and 8 new partners for enhanced cloud security posture monitoring

新しく SQSの項目が追加されました。前回から登場したECSのセキュリティチェックも充実しつつありますね。

さっそく見ていきましょう。

※1) 各コントロールのドキュメントリンクも載せていますが、 2021/08/19 現在日本語訳はありません。英語ドキュメントを御覧ください。

※2) 以前のアップデートで追加されたコントロールの紹介は↓にあります

Amazon API Gateway

[APIGateway.5] API Gateway REST APIのキャッシュデータは静止時に暗号化されるべきである

AWSドキュメント

重要度: MEDIUM

(コメント) キャッシュが有効になっている REST APIステージがチェック対象です。『ディスクに保存されたデータが悪意のあるユーザーによってアクセスされる』リスクを低減するメリットがあります。

参考
- API キャッシュを有効にして応答性を強化する - Amazon API Gateway
- Amazon API Gateway でのデータ暗号化 - Amazon API Gateway

Amazon EC2

[EC2.19] セキュリティグループは、リスクの高いポートへの無制限のアクセスを許可してはならない

AWSドキュメント

重要度: MEDIUM

(コメント)

3389 (RDP), 20, 21 (FTP), 22 (SSH), 23 (Telnet), 110 (POP3), 143 (IMAP), 3306 (mySQL), 8080 (proxy), 1433, 1434 (MSSQL), 9200 or 9300 (Elasticsearch), 5601 (Kibana), 25 (SMTP), 445 (CIFS), 135 (RPC), 4333 (ahsp), 5432 (postgresql), 5500 (fcp-addr-srvr1)