PCI DSS要件のある環境で自己管理の内部診断としてAmazon Inspectorを活用する方法

PCI DSS要件11.2で活用できる脆弱性診断サービスのAmazon Inspectorについて、QSAと協議した知見を共有します。Inspectorの使い方や特徴を踏まえ、どのようにPCI DSSの要件を満たしていくか解説します。

#セキュリティ

#Amazon Inspector

#AWS

臼田佳祐

2019.07.01

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、臼田です。

AWSには様々なサービスがあり、オンプレミス基盤でやっていたPCI DSS要件への対応についてを任せられるサービスも沢山あります。それぞれのサービスは、AWSから提供される時点でプラットフォームとしてのPCI DSS等各種監査基準をクリアしており、そのためのインフラを管理しなくていいことも魅力です。

今回はそんな中で内部脆弱性診断の仕組みとして利用できるAmazon Inspectorについて、とあるQSAとディスカッションしてきた知見をベースに、使い方や実環境での活用方法をまとめます。※QSA(Qualified Security Assessors:認定セキュリティ評価機関, PCISSCに認定されたセキュリティ監査企業のこと)

Amazon Inspectorとは

概要

Amazon Inspectorは一言で言うと脆弱性診断のサービスです。

AWS上でユーザが行う脆弱性の管理は主にEC2上のOS以上のレイヤーに対して責任を負いますが、InspectorではEC2にエージェントをインストールし、ホスト型で脆弱性診断を行うことが出来ます。

診断できる内容の代表格は共通脆弱性識別子(CVE)ですが、それ以外にもCISベンチマークやセキュリティベストプラクティス、ネットワークの到達可能性なども合わせて評価が可能です。

全体の動作像

AWS Black Belt Online Seminar Amazon Inspector from Amazon Web Services Japan

AWSの無料オンラインセミナーBlackbeltの資料より引用しています。

InspectorのエージェントはEC2から上りの通信でInspectorのエンドポイントにHTTPSで通信するため、下りの穴あけが必要なく非常に管理がしやすいです。診断の指示や、診断結果の収集は全てこの上りの通信をトリガーに実施されます。

Inspectorのサービス自体はAWSのマネージドサービスとなりますので、脆弱性診断を行うための基盤の管理などは不要なため、運用負荷が低減されます。

対応OS

AWSで活用される主要なOSは網羅されています。具体的には下記になります。

Amazon Linux
Amazon Linux 2
Ubuntu
Debian
RHEL
CentOS
Windows Server

ドキュメントはこちらです。

価格

評価の回数ベースの従量課金で、非常に安価に利用できます。価格表はこちらにあります。簡単に書くと下記のようになります。

無料トライアル
- Amazon Inspector の利用開始から 90 日間
- 最初の 250 回のインスタンス評価: 0.00 USD
料金詳細
- 1 回のインスタンス評価ごとの料金(月毎)
- 最初の 250 回のインスタンス評価: 0.30 USD
- 以降、一定回数毎にディスカウント

例えば10台のインスタンスを毎日診断したとします。

0.30 USD * 10台 * 30日 = 90 USD

月額 90 USDで10台の脆弱性を管理できると考えると安価であることがよく分かるかと思います。

詳細な使い方

下記をご参照ください。

Amazon Inspector を使って毎月自動で EC2 インスタンスのセキュリティ評価を実施する

PCI DSS要件の中での活用方法

PCI DSSの要件11.2では四半期ごとの内部脆弱性スキャンが必要とされていて、こちらにInspectorを活用することができます。

同じ要件内の外部脆弱性スキャンについてはASVによる実施が必要ですが、内部についてはその必要がないため、Inspectorを自分たちで回していく体制を作ることで対応していくことが可能です。（厳密には、実施に当たっては、脆弱性に対する知見を有し、かつ組織上独立性をもった立場の担当者での実施が求められます。）※ASV(Approved Scanning Vendors :認定スキャニングベンダー)