AWS Organizations で 30 以上の AWS アカウントを管理する企業があります。セキュリティ要件として、本番環境 OU 内のすべてのアカウントで「EC2 インスタンスに関連付けられたセキュリティグループ

Question

AWS Organizations で 30 以上の AWS アカウントを管理する企業があります。セキュリティ要件として、本番環境 OU 内のすべてのアカウントで「EC2 インスタンスに関連付けられたセキュリティグループがインターネット（0.0.0.0/0 または ::/0）からポート 22（SSH）・3389（RDP）への直接インバウンドを許可するルール」を禁止し、既存の違反ルールを自動修復する必要があります。また、本番 OU に新規アカウントが追加された際には自動でポリシーが適用されなければなりません。最小限の運用オーバーヘッドで要件を満たす方法はどれですか？

Accepted Answer

正解: AWS Firewall Manager のコンテンツ監査セキュリティグループポリシー（Content Audit Security Group Policy）を作成し、0.0.0.0/0 からポート 22・3389 への許可ルールを違反として定義する。自動修復（Auto-remediation）を有効化して本番 OU に適用する。Firewall Manager は新規アカウント追加時も自動適用される。。AWS Firewall Manager はセキュリティグループポリシーを AWS Organizations 全体に一元管理できるサービスで、新規アカウントへの自動適用と自動修復をネイティブにサポートします。コンテンツ監査ポリシーでは違反となるインバウンドルールを定義でき、Auto-remediation を有効にすると違反ルールを自動削除します。OU に適用することで新規アカウント追加時も自動でポリシーが適用されます。

選択肢Bの AWS Config Rules + Systems Manager Automation の方法でも同等機能を実現できますが、委任管理者設定・各アカウントへの修復アクション設定など複数の手順が必要で、Firewall Manager と比較して運用オーバーヘッドが高くなります。

選択肢CのSCP で ec2:AuthorizeSecurityGroupIngress を全面拒否すると正当なセキュリティグループルールの追加も阻害されます。また SCP は特定のポートや CIDR を条件とした細かい制御が難しく、既存の違反ルールの自動修復もできません。

選択肢DのSecurity Hub は検出・可視化ツールであり、違反ルールの自動修復機能を持ちません。

Answer

AWS Config のマネージドルール（restricted-ssh）を Organizations の委任管理者アカウントから全アカウントに一括展開し、AWS Systems Manager Automation のドキュメントを修復アクションとして設定して非準拠のセキュリティグループルールを自動削除する。 — AWS Config Rules + Systems Manager Automation の方法でも同等機能を実現できますが、委任管理者設定・各アカウントへの修復アクション設定など複数の手順が必要で、Firewall Manager と比較して運用オーバーヘッドが高くなります。

Answer

Service Control Policies（SCP）を使用して ec2:AuthorizeSecurityGroupIngress アクションを本番 OU 全体で拒否するポリシーを作成する。セキュリティチームの IAM ロールにのみ例外を付与する。 — SCP で ec2:AuthorizeSecurityGroupIngress を全面拒否すると正当なセキュリティグループルールの追加も阻害されます。また SCP は特定のポートや CIDR を条件とした細かい制御が難しく、既存の違反ルールの自動修復もできません。

Answer

AWS Security Hub の AWS Foundational Security Best Practices 標準を全アカウントで有効化し、「EC2.18: セキュリティグループはポート 22 への無制限アクセスを許可すべきでない」コントロールの違反を Security Hub コンソールで継続監視する。 — Security Hub は検出・可視化ツールであり、違反ルールの自動修復機能を持ちません。

解説

解説