![【Security Hub修復手順】[Redshift.15] Redshift セキュリティグループは、制限されたオリジンからのみクラスターポートへの入力を許可する必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[Redshift.15] Redshift セキュリティグループは、制限されたオリジンからのみクラスターポートへの入力を許可する必要があります
こんにちは！ほりぐちです。
皆さん、お使いの AWS 環境のセキュリティチェックはしていますか？
本記事では、AWS Security Hub による AWS 環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[Redshift.15] Redshift セキュリティグループは、制限されたオリジンからのみクラスターポートへの入力を許可する必要があります
[Redshift.15] Redshift security groups should allow ingress on the cluster port only from restricted origins
前提条件
本記事は AWS Security Hub で「AWS 基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hub の詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、Amazon Redshift クラスターに関連付けられたセキュリティグループが、クラスターポート（デフォルトは 5439）へのインバウンドアクセスをインターネット（0.0.0.0/0 または ::/0）から許可していないかチェックします。セキュリティグループのインバウンドルールで、クラスターポートへの接続元を特定の IP アドレス範囲やセキュリティグループに制限すると、このコントロールは成功します。
クラスターポートをインターネット全体に開放したままにすると、以下のような具体的なリスクがあります。
- 世界中の第三者が Redshift クラスターのエンドポイントに到達できてしまい、マスターユーザーの認証情報に対する総当たり攻撃を受ける
- クラスターに未パッチの脆弱性が存在する場合、攻撃者から直接その脆弱性を悪用される
- 認証情報が漏洩した場合、接続元 IP アドレスによる制限がないため、即座に不正アクセスやデータの窃取につながる
これらのリスクを防ぐため、セキュリティグループのインバウンドルールでは、クラスターへの接続元を自社オフィスや VPN 経由の接続元 IP アドレス範囲、または同一 VPC 内の特定のセキュリティグループに限定する必要があります。
修復手順
コントロールの確認方法
- Security Hub コンソールを開く
- 左メニューから「検出結果」を選択
- フィルターで対象のコントロール ID「Redshift.15」を検索
ステークホルダーに確認
修復を行う前に、以下の点をステークホルダーに確認してください。
- 対象の Redshift クラスターに接続している全てのクライアント（アプリケーションサーバー、BI ツール、運用担当者の端末など）の接続元 IP アドレスを洗い出せているか
- 洗い出した接続元がすべて、制限後の IP アドレス範囲でカバーされているか（反映漏れがあると接続不可になる）
- 接続元 IP アドレスが固定でない場合（動的 IP やリモートワーク環境など）、VPN 接続や踏み台サーバー経由でのアクセスに切り替える必要があるか
修復手順
- Amazon Redshift コンソールを開き、対象クラスターの詳細画面を開く
- クラスターの詳細画面から「プロパティ」タブを開いて、関連付けられている VPC セキュリティグループを確認する
-
対象のセキュリティグループを選択し、「インバウンドルール」タブを開く。クラスターポート（デフォルト 5439）が設定されているルールを選択し、「インバウンドルールを編集」を選択
-
ソースを「任意の場所 - IPv4」（0.0.0.0/0）または「任意の場所 - IPv6」（::/0）から、許可する特定のIPアドレス範囲、または同一 VPC 内の特定のセキュリティグループに変更して保存
修復確認
修復後、Security Hub で検出結果が「PASSED」になることを確認します。
注意: このコントロールはスケジュールタイプが「定期的」のため、検出結果が更新されるまで数時間程度かかる場合があります
最後に
今回は、AWS Security Hub による AWS 環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。
コントロールを修正して、お使いの AWS 環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
以上、ほりぐちでした！
