![【Security Hub修復手順】[SES.3] SES 設定セットでは、TLS を有効にして E メールを送信する必要があります](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
【Security Hub修復手順】[SES.3] SES 設定セットでは、TLS を有効にして E メールを送信する必要があります
こんにちは！スライマンです。
皆さん、お使いのAWS環境のセキュリティチェックはしていますか？
本記事では、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修復手順をご紹介します。
本記事の対象コントロール
[SES.3] SES 設定セットでは、TLS を有効にして E メールを送信する必要があります
[SES.3] SES configuration sets should have TLS enabled for sending emails
前提条件
本記事はAWS Security Hubで「AWS基礎セキュリティのベストプラクティススタンダード」を利用されている方向けの内容となります。
AWS Security Hubの詳細についてはこちらのブログをご覧ください。
対象コントロールの説明
このコントロールは、Amazon SESの設定セットに対してTLSポリシーが REQUIRED（必須）に設定されているかチェックします。
設定セットのTLSポリシーを REQUIRED にすることで、このコントロールは成功します。
Amazon SESはデフォルトでは日和見的TLS（Opportunistic TLS）を使用します。
この設定では、受信側メールサーバーがTLS接続を確立できない場合、メールが平文で送信されてしまいます。
TLSポリシーを REQUIRED に設定することで、TLS接続が確立できない相手先へのメール送信をブロックし、通信経路上での盗聴と中間者攻撃を防止します。
メールの内容には個人情報や機密情報が含まれる場合があり、転送中の通信を暗号化することは必須の対応です。
なお、TLSポリシーを REQUIRED に設定すると、TLS接続を確立できない受信サーバーへのメールは送信されません。
事前に送信先の対応状況を確認してください。
修復手順
コントロールの確認方法
- AWS Security Hubコンソールを開く
- 左メニューから「検出結果」を選択
- フィルターで
コンプライアンスセキュリティコントロールIDにSES.3を指定し、コンプライアンスのステータスがFAILEDの検出結果を確認する
- 検出されたリソース（設定セット名）を確認し、対応が必要な設定セットを特定する
ステークホルダーに確認
修復を行う前に、以下の点をステークホルダーに確認してください。
- TLSポリシーを
REQUIREDに設定すると、TLS非対応の受信サーバーへのメール送信がブロックされるため、送信先に影響がないか確認する - メール送信に関わるシステムやアプリケーションの担当者に変更内容を共有する
- 必要に応じてメンテナンスウィンドウを設けて対応する
修復手順
- Amazon SESコンソールを開く
- 左メニューから「設定」→「設定セット」を選択する
- 対象の設定セット名をクリックする
- 「概要」の「全般的な詳細」タブを選択する
- 「全般的な詳細」セクションの「編集」ボタンをクリックし、「TLSポリシー」を「必須」に変更する
- 「変更を保存」をクリックする
修復確認
本コントロールは設定セットの設定変更時に評価されるため、TLSポリシーを必須に変更後に比較的早く結果が PASSED に切り替わります。
ただし、反映されるまで数分〜数十分かかる場合があります。
まず、AWS CLIでsesv2 のget-configuration-setを実行し、TlsPolicyが REQUIREであることを確認します。
aws sesv2 get-configuration-set \
--configuration-set-name <YOUR_CONFIGURATION_SET_NAME> \
--query 'DeliveryOptions' \
--output json
実行結果の例:
{
"TlsPolicy": "REQUIRE"
}
その後、修復後に Security Hubで検出結果が「PASSED」になることを確認します。
最後に
今回は、AWS Security HubによるAWS環境のセキュリティ状況スコアリングに該当する項目についての修正手順をご紹介しました。
コントロールを修正して、お使いのAWS環境のセキュリティをパワーアップさせましょう！
最後までお読みいただきありがとうございました！どなたかのお役に立てれば幸いです。
以上、スライマンでした！
