AWS IoT Device Defenderの監査をCDKで設定してみた

AWS IoT Device Defenderは、IoTデバイスの保護に役立つサービスです。AWS IoTのポリシーやモノなど様々な項目を継続的に監視して、セキュリティのベストプラクティスからの逸脱がないことをチェックします。

環境情報

Device Defenderの監査項目

AWS IoT Device Defenderには以下のような監査項目が用意されています。

Device Defenderの監査をCDKで設定

Device Defender Auditの設定とスケジュールを作成するCDKを実装します。

lib/cdk-iot-device-defender.ts

import * as iam from '@aws-cdk/aws-iam';
import * as iot from '@aws-cdk/aws-iot';
import * as cdk from '@aws-cdk/core';

export class IotDeviceDefenderStack extends cdk.Stack {
  constructor(scope: cdk.Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    const accountId = cdk.Stack.of(this).account;

    const iotDeviceDefenderAuditRole = new iam.Role(
      this,
      'IotDeviceDefenderAuditRole',
      {
        roleName: 'iot-device-defender-audit-role',
        assumedBy: new iam.ServicePrincipal('iot.amazonaws.com'),
        managedPolicies: [
          iam.ManagedPolicy.fromAwsManagedPolicyName(
            'service-role/AWSIoTDeviceDefenderAudit',
          ),
        ],
      },
    );

    const accountAuditConfiguration = new iot.CfnAccountAuditConfiguration(
      this,
      'AccountAuditConfiguration',
      {
        accountId: accountId,
        auditCheckConfigurations: {
          authenticatedCognitoRoleOverlyPermissiveCheck: {
            enabled: true,
          },
          caCertificateExpiringCheck: {
            enabled: true,
          },
          caCertificateKeyQualityCheck: {
            enabled: true,
          },
          conflictingClientIdsCheck: {
            enabled: true,
          },
          deviceCertificateExpiringCheck: {
            enabled: true,
          },
          deviceCertificateKeyQualityCheck: {
            enabled: true,
          },
          deviceCertificateSharedCheck: {
            enabled: true,
          },
          iotPolicyOverlyPermissiveCheck: {
            enabled: true,
          },
          iotRoleAliasAllowsAccessToUnusedServicesCheck: {
            enabled: true,
          },
          iotRoleAliasOverlyPermissiveCheck: {
            enabled: true,
          },
          loggingDisabledCheck: {
            enabled: true,
          },
          revokedCaCertificateStillActiveCheck: {
            enabled: true,
          },
          revokedDeviceCertificateStillActiveCheck: {
            enabled: true,
          },
          unauthenticatedCognitoRoleOverlyPermissiveCheck: {
            enabled: true,
          },
        },
        roleArn: iotDeviceDefenderAuditRole.roleArn,
      },
    );

    const scheduledAudit = new iot.CfnScheduledAudit(
      this,
      'DailyScheduledAudit',
      {
        scheduledAuditName: 'DailyScheduledAudit',
        frequency: 'DAILY',
        targetCheckNames: [
          'AUTHENTICATED_COGNITO_ROLE_OVERLY_PERMISSIVE_CHECK',
          'CA_CERTIFICATE_EXPIRING_CHECK',
          'CA_CERTIFICATE_KEY_QUALITY_CHECK',
          'CONFLICTING_CLIENT_IDS_CHECK',
          'DEVICE_CERTIFICATE_EXPIRING_CHECK',
          'DEVICE_CERTIFICATE_KEY_QUALITY_CHECK',
          'DEVICE_CERTIFICATE_SHARED_CHECK',
          'IOT_POLICY_OVERLY_PERMISSIVE_CHECK',
          'IOT_ROLE_ALIAS_ALLOWS_ACCESS_TO_UNUSED_SERVICES_CHECK',
          'IOT_ROLE_ALIAS_OVERLY_PERMISSIVE_CHECK',
          'LOGGING_DISABLED_CHECK',
          'REVOKED_CA_CERTIFICATE_STILL_ACTIVE_CHECK',
          'REVOKED_DEVICE_CERTIFICATE_STILL_ACTIVE_CHECK',
          'UNAUTHENTICATED_COGNITO_ROLE_OVERLY_PERMISSIVE_CHECK',
        ],
      },
    );

    scheduledAudit.addDependsOn(accountAuditConfiguration);
  }
}

動作確認

AWSのマネージメントコンソールで監査設定が有効になっていることを確認します。

監査スケジュールが作成されていることを確認します。

これで毎日監査が実行されて、結果に監査結果が表示されるようになります。監査を即時実行したい場合は、スケジュールの作成から「今すぐ監査を実行（1回）」を選択することも出来ます。

注意事項

AWSマネージメントコンソールで事前に監査設定をした場合、CloudFormationやCDKなどでデプロイできなくなります。その場合には、以下のコマンドで監査設定を削除します。

aws iot delete-account-audit-configuration

まとめ

簡単な設定でAWS IoTのセキュリティ監査ができるので使わない手はないですね。スケジュールを設定して継続的に監査を実施することで、運用中の作業ミスや不審なアクセスに気がつくことも可能です。また「監査結果の抑制」で例外も設定できます。

次回はAWS IoT Device Defenderの監査結果をSlackに通知する方法を紹介します。

投稿しました！

参考資料

• AWS IoT Device Defender - AWS IoT Core
• AWS IoT 再入門ブログリレー AWS IoT Device Defender 編