ある金融サービス企業は AWS Organizations で約120のAWSアカウントを運用しており、各アカウントに多数のEC2インスタンスとVPCが存在する。セキュリティチームは、ポート22(SSH)およびポート33

Question

ある金融サービス企業は AWS Organizations で約120のAWSアカウントを運用しており、各アカウントに多数のEC2インスタンスとVPCが存在する。セキュリティチームは、ポート22(SSH)およびポート3389(RDP)を 0.0.0.0/0 に開放したセキュリティグループが本番アカウントで頻繁に作成される問題に直面している。
要件は次のとおりである。
(1)組織全体で非準拠のセキュリティグループを自動検出する。
(2)検出後に該当インバウンドルールを自動で削除する。
(3)新規アカウント追加時にも追加設定なしで適用される。
(4)運用チームの手作業とカスタムコードの保守を最小化する。
最も適切な構成はどれか。

Accepted Answer

正解: AWS Config の組織コンフォーマンスパックを委任管理者から展開し、マネージドルール restricted-ssh と restricted-common-ports で違反を検出し、SSM Automation ドキュメントを自動修復アクションとして関連付ける。AWS Config の組織コンフォーマンスパックを Organizations の委任管理者アカウントから展開すると、組織内の全アカウントへルールが一括適用され、新規追加アカウントにも自動的に継承される。

マネージドルール restricted-ssh / restricted-common-ports で 0.0.0.0/0 への開放を検出し、修復アクションに SSM Automation ドキュメント(AWS-DisablePublicAccessForSecurityGroup 等)を紐付ければ、違反ルールを自動削除できる。マネージドルールと既製の Automation を使うためカスタムコードの実装・保守も不要で、全要件を最小運用負荷で満たす。

選択肢Bの AWS Config 個別ルール+SNS は、新規アカウントごとに手動でルール作成が必要で要件3に反し、通知のみで自動削除(要件2)を満たさない。
選択肢Cの EventBridge+Lambda+StackSets は動作するが、削除ロジックを自前実装・保守する必要があり要件4に反する。
選択肢Dの Security Hub 集約は検出は横断的だが修復が手作業のため要件2を満たさない。

Answer

各アカウントに AWS Config マネージドルールを個別に作成し、違反検出時に Amazon SNS で通知して、対象ルールの削除は各アカウント管理者が手動で実施する — Config マネージドルールを各アカウントで個別作成する方式は、新規アカウント追加時に手動でのルール作成が必要となり要件3に反する。また SNS 通知のみで違反ルールの自動削除(要件2)を実現できず、手作業も残るため不適切である。

Answer

各アカウントで EventBridge がセキュリティグループ変更を検知し Lambda が違反ルールを削除する構成を、CloudFormation StackSets で全アカウントへ展開する — EventBridge と Lambda を StackSets で全アカウント展開する構成は検出・削除を自動化できるが、違反ルールを削除する Lambda コードを自前で実装・継続保守する必要があり、カスタムコード保守を最小化する要件4に明確に反する。

Answer

Security Hub の基礎セキュリティベストプラクティス基準を全アカウントで有効化し、検出結果を管理アカウントに集約してカスタムアクションから手動で修正する — Security Hub の基準有効化と検出結果集約は組織横断の検出には有効だが、修復をカスタムアクション経由の手動操作に依存するため、検出後の自動削除を求める要件2を満たさず運用負荷も増大する。

解説

解説