ある大企業は AWS Organizations で 50 以上の AWS アカウントを管理しています。セキュリティチームは以下の要件を満たすソリューションを求めています。

要件：
- 全アカウントのセキュリティグルー

Question

ある大企業は AWS Organizations で 50 以上の AWS アカウントを管理しています。セキュリティチームは以下の要件を満たすソリューションを求めています。

要件：
- 全アカウントのセキュリティグループで、0.0.0.0/0 からのポート 22（SSH）および 3389（RDP）への受信を許可するルールを継続的に検出する
- 検出した違反ルールを自動的に削除する
- セキュリティ管理アカウントから一元的に管理する
- 運用オーバーヘッドを最小化する

上記の要件を最も効率よく満たすソリューションはどれですか？

Accepted Answer

正解: AWS Firewall Managerでセキュリティグループ監査ポリシーを作成し、0.0.0.0/0 からポート22・3389への受信を許可するルールを違反として定義するコンテンツ監査ルールを設定する。自動修復を有効化して非準拠ルールを自動削除し、AWS Organizations全体にポリシーを適用する。。AWS Firewall Managerでセキュリティグループ監査ポリシーを作成し、0.0.0.0/0 からポート22・3389への受信を許可するルールを違反として定義するコンテンツ監査ルールを設定する。自動修復を有効化して非準拠ルールを自動削除し、AWS Organizations全体にポリシーを適用する。

解説：
AWS Firewall Managerのセキュリティグループ監査ポリシーはOrganizations全体のセキュリティグループを継続的に監査・自動修復でき、新規アカウントにも自動適用されるため運用オーバーヘッドが最も低い方法です。
選択肢BはConfigとStackSetsの組み合わせも有効ですが、50以上のアカウントへのStackSets管理と新規アカウントへの追加設定が必要でFirewall Managerより運用負荷が高く最適ではありません。
選択肢CはEventBridge+Step Functionsのイベント駆動型では既存違反ルールの継続的検出ができず、クロスアカウント管理も複雑です。
選択肢DはGuardDutyは実際の攻撃試行検知サービスであり、セキュリティグループの設定ミスを予防的に検出するコンプライアンス管理には不適切です。

Answer

AWS Configのマネージドルール（`restricted-ssh`・`restricted-common-ports`）をAWS CloudFormation StackSets で全アカウントに展開する。SSM Automationドキュメント `AWS-DisablePublicAccessForSecurityGroup` を各アカウントの自動修復アクションとして設定する。 — ConfigとStackSetsの組み合わせも有効ですが、50以上のアカウントへのStackSets管理と新規アカウントへの追加設定が必要でFirewall Managerより運用負荷が高く最適ではありません。

Answer

管理アカウントでCloudTrail イベント `AuthorizeSecurityGroupIngress` をトリガーとするEventBridgeルールを作成し、クロスアカウントIAMロールを使ったStep Functionsワークフローで、非準拠のセキュリティグループルールを全メンバーアカウントで評価・修復する。 — EventBridge+Step Functionsのイベント駆動型では既存違反ルールの継続的検出ができず、クロスアカウント管理も複雑です。

Answer

Amazon GuardDutyを全アカウントで有効化し、`UnauthorizedAccess:EC2/SSHBruteForce` タイプの検知結果をEventBridgeルールでキャッチして、Lambda関数でセキュリティグループの非準拠ルールを自動修復する。 — GuardDutyは実際の攻撃試行検知サービスであり、セキュリティグループの設定ミスを予防的に検出するコンプライアンス管理には不適切です。