企業はAWS Organizationsで70のAWSアカウントを管理しています。セキュリティチームは全アカウントのALB（Application Load Balancer）に対して、OWASPコアルールセット（OWA

Question

企業はAWS Organizationsで70のAWSアカウントを管理しています。セキュリティチームは全アカウントのALB（Application Load Balancer）に対して、OWASPコアルールセット（OWASP：Open Web Application Security Project。Webアプリケーションの主要なセキュリティリスクを定義した業界標準）と既知の悪意あるIPをブロックするWAFルールを強制適用したいと考えています。新しいアカウントがOrganizationsに追加された際も自動的にポリシーが適用され、非準拠リソースは自動修復される必要があります。最小の運用オーバーヘッドで実現する方法はどれですか？

Accepted Answer

正解: AWS Firewall Managerを使用してOrganizations全体にWAFポリシーと自動修復（Auto Remediation）を定義し、新規アカウントも組織参加後に自動適用させる。AWS Firewall Managerは、AWS Organizations全体でWAF・Shield Advanced・セキュリティグループポリシーを一元管理する専用サービスです。管理アカウントでポリシーを一度定義すれば既存・新規アカウントのリソースに自動適用され、自動修復機能により非準拠リソース（WAF未設定のALB）へのWebACL関連付けも自動実行されます。

選択肢AのCloudFormation StackSetsも機能しますが、新規アカウント自動適用の設定が複雑で、Firewall Managerのほうが運用オーバーヘッドが低くなります。

選択肢CのSecurity Hubのカスタムアクションを作成する方法は、Systems Manager Automationとの組み合わせが複雑になります。

選択肢Dの管理アカウントへのLambda関数配置は、Organizations API のCreateAccountイベント検出からWAF適用までのプロセスが複雑で、運用負荷が高くなります。

Answer

CloudFormation StackSetsを使用して全アカウントにWAF v2 WebACLをデプロイするテンプレートを配布し、新規アカウント追加時はCodePipelineでStackSetsを自動更新する — CloudFormation StackSetsも機能しますが、新規アカウント自動適用の設定が複雑で、Firewall Managerのほうが運用オーバーヘッドが低くなります。

Answer

Security Hubのカスタムアクションを作成してWAF未設定のALBを検出し、Systems Manager Automationで修復するワークフローを構築する — Security Hubのカスタムアクションを作成する方法は、Systems Manager Automationとの組み合わせが複雑になります。

Answer

管理アカウントにLambda関数を配置し、Organizations APIのCreateAccountイベントをEventBridgeで検出して新規アカウントのALBにWAFルールを適用する — 管理アカウントへのLambda関数配置は、Organizations API のCreateAccountイベント検出からWAF適用までのプロセスが複雑で、運用負荷が高くなります。

解説

解説