[アップデート] Config の適合パックに「NIST CSF 運用のベストプラクティス」が追加されました

先日のアップデートで AWS Config 適合パックに「NIST CSF 運用のベストプラクティス」が追加されました。

なにが嬉しいのか

以前に 「CIS コンプライアンスパック」、「AWS Control Tower Detective Guardrails」の AWS Config の適合パックが追加されていました。それと同じようなメリットがあります。

ルールをパッケージ化

適合パックは Configルール(+修復アクション)のパッケージ化です。 AWSからサンプルテンプレートが提供されています。 他にも「S3/ベストプラクティス」や「CIS 運用のベストプラクティス」の 適合パックも利用できます。

現時点(2020/06/05) で利用可能な適合パック一覧は以下参照ください。

カスタマイズ可能

Config適合パックの実態は CloudFormationテンプレートです。 スコープの設定や、必要に応じた修復アクションといったカスタマイズが可能です。

NISTフレームワーク運用の準拠確認に役立つ

このフレームワークは政府や民間から意見を集めて作成されたもので、 リスクごとに実施すべき重点対策が示されています。 CSF を活用することにより、識別、防御、検知、対応、復旧という 5 つの機能を中心としたセキュリティ対策の基盤を築き、セキュリティの強化、 リスク管理の改善、組織の信頼性向上を実現できます。

– 引用: AWS クラウドにおける NIST サイバーセキュリティフレームワークへの準拠 – 日本語のホワイトペーパーを公開しました

NIST(CFS)はサーバーセキュリティ対策のフレームワークの 1つです。 フレームワークに準拠したAWS運用ができているかどうか、確認に役立ちます。

やってみる

実際に NISTの適合パックをデプロイしてみます。 以下手順でデプロイします。 (※ Config記録をOFFとしている場合、有効化してください)

1. サービスにリンクされたロールの作成
2. S3バケットの作成、バケットポリシーの設定
3. 適合パックのデプロイ

サービスにリンクされたロールの作成

公式ガイド どおりに、AWS CLI使ってConfig適合パック用のIAMロールを作成します。

aws iam create-service-linked-role --aws-service-name config-conforms.amazonaws.com --description "my service linked role for config-conforms"

S3バケットの作成、バケットポリシーの設定

Config適合パックに関するデータを保存するためのS3バケットを適当に作成します。 作成した S3バケットにバケットポリシーを追加します。以下 適宜置き換えてください。

• ${AccountId} :: アカウントID
• ${delivery-bucket-name} :: 作成したバケット名
• ${[optional] prefix} :: (オプション) 保存先バケットプレフィクス

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSConfigConformsBucketPermissionsCheck",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
            "arn:aws:iam::${AccountId}:role/aws-service-role/config-conforms.amazonaws.com/AWSServiceRoleForConfigConforms"
        ]
      },
      "Action": "s3:GetBucketAcl",
      "Resource": "arn:aws:s3:::${delivery-bucket-name}"
    },
    {
      "Sid": "AWSConfigConformsBucketDelivery",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
            "arn:aws:iam::${AccountId}:role/aws-service-role/config-conforms.amazonaws.com/AWSServiceRoleForConfigConforms"
        ]
      },
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::${delivery-bucket-name}/${[optional] prefix}/AWSLogs/${AccountId}/Config/*",
      "Condition": {
        "StringEquals": {
          "s3:x-amz-acl": "bucket-owner-full-control"
        }
      }
    },
    {
      "Sid": " AWSConfigConformsBucketReadAccess",
      "Effect": "Allow",
      "Principal": {
        "AWS": [
            "arn:aws:iam::${AccountId}:role/aws-service-role/config-conforms.amazonaws.com/AWSServiceRoleForConfigConforms"
        ]
      },
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::${delivery-bucket-name}/${[optional] prefix}/AWSLogs/${AccountId}/Config/*"
    }
  ]
}

適合パックのデプロイ

[AWS Config] > [適合パック] の画面にて [適合パックをデプロイする] を選択します。

サンプルテンプレートの選択で [Operational Best Practice for NIST CSF] がありました。 これを選択して [次へ] 行きましょう。

▼ S3バケットに先程作成した S3バケットを指定します(オプション: プレフィクス指定)

▼ 内容を確認して、問題なければ [適合パックをデプロイ] します。

▼ デプロイ直後の画面。 進行中 のステータスになっています。

確認

デプロイされた適合パックは 以下のようなルール構成です。修復アクションは組み込まれていません。

以下、NIST適合パックで展開される Configルール名と説明の日本語訳(DeepL 自動翻訳)を載せます。

適合パックの実態はCloudFormationテンプレートです。以下のように CFnスタックが確認できました。

展開したテンプレートは S3バケットに格納されており、また以下 ドキュメントでも確認できます。

おわりに

「NIST CSF 運用のベストプラクティス」Config適合パックの紹介でした。 実際に運用する際は、各ルールのパラメータを確認してスコープの調整が 必要になってきます。 SecurityHub では(2020/06/05時点)まだ対応していない NISTフレームワークによる チェックが可能なので、ぜひセキュリティチェックの手段として検討すると良いと思います。

参考

▼ 適合パックデプロイの準備

▼ 適合パック関連 参考ブログ