KiroのAI-DLCで、あえて脆弱なEC2環境のCloudFormationテンプレートを生成・検証してみた

# 要件定義書: SecurityHub 学習用 脆弱性EC2環境

## 1. 目的

AWS SecurityHub で検出される脆弱性を意図的に持つ EC2 環境を CloudFormation で構築し、
「SecurityHub 指摘の検出 → IaC 修正 → 指摘解消」の学習サイクルを体験する。

## 2. 前提条件

| 項目 | 値 |
|---|---|
| AWSリージョン | ap-northeast-1（東京） |
| SecurityHub | 有効化済み |
| デプロイ方式 | CloudFormation（単一テンプレート） |
| ライフサイクル | 学習後にスタック削除（一時利用） |
| AMI | SSM 公開パラメータから動的取得 |

## 3. 対象脆弱性と違反仕様

### 3.1 EC2.8 — IMDSv2 の無効化
- 実装方法: `MetadataOptions.HttpTokens = optional`

### 3.2 EC2.3 — EBS 暗号化の無効化
- 実装方法: BlockDeviceMappings の `Encrypted = false`

### 3.3 EC2.18 — セキュリティグループ インバウンド SSH 全開放
- 実装方法: Ingress: Port 22, CidrIp = 0.0.0.0/0

### 3.4 EC2.19 — セキュリティグループ インバウンド RDP 全開放
- 実装方法: Ingress: Port 3389, CidrIp = 0.0.0.0/0

### 3.5 IAM.1 — IAM インラインポリシー フルアクセス
- 実装方法: インラインポリシー Action="*", Resource="*"
- 制約: `iam:CreatePolicy` 権限がないためインラインポリシーで実装

## 4. リソース構成

CloudFormation Stack: weak-ec2-securityhub-lab
├── SecurityGroup (EC2.18, EC2.19 違反)
│   ├── VpcId: パラメータ参照
│   ├── Ingress: TCP 22, 0.0.0.0/0
│   └── Ingress: TCP 3389, 0.0.0.0/0
├── IAM Role (IAM.1 違反)
│   └── Inline Policy: Action=*, Resource=*
├── IAM Instance Profile
└── EC2 Instance (EC2.8, EC2.3 違反)
    ├── InstanceType: t4g.nano (ARM/Graviton)
    ├── MetadataOptions.HttpTokens: optional
    ├── BlockDeviceMapping: Encrypted=false
    └── KeyName: なし（SSM Session Manager で接続）

（中略）

## 6. 成果物

| 成果物 | ファイル名 |
|---|---|
| 要件定義書 | requirements.md |
| 脆弱版 CFn テンプレート | template-weak.yaml |
| 修正版 CFn テンプレート | template-fixed.yaml |
| cfn-guard ルールファイル | rules.guard |
| E2E テストスクリプト | e2e-test.sh |

### テンプレート設計方針
- 脆弱版・修正版は同一の論理 ID を使用
- 脆弱設定に関わるプロパティのみを変更または削除
- 同一スタック名で上書きデプロイ可能

### E2E テストスクリプト仕様

| 検証項目 | 期待値（weak） | 期待値（fixed） |
|---|---|---|
| EC2.8 HttpTokens | optional | required |
| EC2.3 Encrypted | false | true |
| EC2.18 Ingress 22 | 0.0.0.0/0 あり | なし |
| EC2.19 Ingress 3389 | 0.0.0.0/0 あり | なし |
| IAM.1 インラインポリシー | Action:* あり | なし |

# セキュリティグループ — EC2.18, EC2.19
SecurityGroupIngress:
  - IpProtocol: tcp
    FromPort: 22
    ToPort: 22
    CidrIp: 0.0.0.0/0              # EC2.18
  - IpProtocol: tcp
    FromPort: 3389
    ToPort: 3389
    CidrIp: 0.0.0.0/0              # EC2.19

# IAMロール — IAM.1
Policies:
  - PolicyName: OverlyPermissive
    PolicyDocument:
      Statement:
        - Effect: Allow
          Action: "*"
          Resource: "*"

# EC2インスタンス — EC2.8, EC2.3
MetadataOptions:
  HttpTokens: optional              # EC2.8
BlockDeviceMappings:
  - DeviceName: /dev/xvda
    Ebs:
      Encrypted: false              # EC2.3

# EC2.8相当: IMDSv2 強制（HttpTokens=required）
rule EC2_IMDSV2_REQUIRED {
  AWS::EC2::Instance {
    Properties.MetadataOptions.HttpTokens == "required"
  }
}

# EC2.3相当: EBS ルートボリューム暗号化
rule EBS_ENCRYPTED {
  AWS::EC2::Instance {
    Properties.BlockDeviceMappings[*].Ebs.Encrypted == true
  }
}

# EC2.18相当: セキュリティグループ インバウンド 0.0.0.0/0 禁止
rule NO_UNRESTRICTED_INGRESS {
  AWS::EC2::SecurityGroup {
    Properties.SecurityGroupIngress not exists
      or Properties.SecurityGroupIngress == []
      or Properties.SecurityGroupIngress[*].CidrIp != "0.0.0.0/0"
  }
}

# EC2.19相当: 高リスクポート(3389)への無制限インバウンド禁止
rule NO_HIGH_RISK_PORT_INGRESS {
  AWS::EC2::SecurityGroup {
    Properties.SecurityGroupIngress not exists
      or Properties.SecurityGroupIngress == []
      or Properties.SecurityGroupIngress[*] {
        FromPort != 3389
        or CidrIp != "0.0.0.0/0"
      }
  }
}

# IAM.1相当: 今回のテンプレートでは過剰権限のインラインポリシーを削除する設計のため、
# インラインポリシーの有無で簡易的に判定
rule NO_IAM_INLINE_POLICY {
  AWS::IAM::Role {
    Properties.Policies not exists
      or Properties.Policies == []
  }
}

#!/bin/bash
set -euo pipefail

# Usage: ./e2e-test.sh [weak|fixed]
MODE="${1:-}"
STACK_NAME="weak-ec2-securityhub-lab"
REGION="ap-northeast-1"

# CFn Outputsからリソース情報取得
get_output() {
  aws cloudformation describe-stacks \
    --stack-name "$STACK_NAME" --region "$REGION" \
    --query "Stacks[0].Outputs[?OutputKey=='$1'].OutputValue" \
    --output text
}

INSTANCE_ID=$(get_output InstanceId)
SG_ID=$(get_output SecurityGroupId)
ROLE_NAME=$(get_output RoleName)

echo "=== E2E Test: $STACK_NAME ==="
echo "  InstanceId:  $INSTANCE_ID"
echo "  SgId:        $SG_ID"
echo "  RoleName:    $ROLE_NAME"

FAIL=0

# EC2.8: IMDSv2
HTTP_TOKENS=$(aws ec2 describe-instances --instance-ids "$INSTANCE_ID" \
  --region "$REGION" \
  --query 'Reservations[0].Instances[0].MetadataOptions.HttpTokens' \
  --output text)

# EC2.3: EBS暗号化
ENCRYPTED=$(aws ec2 describe-volumes --region "$REGION" \
  --filters "Name=attachment.instance-id,Values=$INSTANCE_ID" \
  --query 'Volumes[0].Encrypted' --output text)

# EC2.18: Ingress 0.0.0.0/0:22
INGRESS_SSH=$(aws ec2 describe-security-groups --group-ids "$SG_ID" \
  --region "$REGION" \
  --query 'SecurityGroups[0].IpPermissions[?FromPort==`22`].IpRanges[].CidrIp' \
  --output text)

# EC2.19: Ingress 0.0.0.0/0:3389
INGRESS_RDP=$(aws ec2 describe-security-groups --group-ids "$SG_ID" \
  --region "$REGION" \
  --query 'SecurityGroups[0].IpPermissions[?FromPort==`3389`].IpRanges[].CidrIp' \
  --output text)

# IAM.1: インラインポリシー
INLINE_POLICIES=$(aws iam list-role-policies --role-name "$ROLE_NAME" \
  --query 'PolicyNames' --output text)

# ... weak/fixed判定ロジック（省略）