複数のEC2インスタンスでWebアプリを運用する企業でSSRF脆弱性によるインスタンスメタデータ漏洩インシデントが発生した。再発防止として①インスタンスメタデータAPIへのトークンなしアクセスの完全禁止と②OSレベルのC

Question

複数のEC2インスタンスでWebアプリを運用する企業でSSRF脆弱性によるインスタンスメタデータ漏洩インシデントが発生した。再発防止として①インスタンスメタデータAPIへのトークンなしアクセスの完全禁止と②OSレベルのCVE脆弱性をCVSSスコアに基づく優先順位付けで継続評価する仕組みを構築したい。既存アプリケーションコードを変更せずに両要件を満たす方法はどれか。

Accepted Answer

正解: EC2起動テンプレートでhttpTokens=requiredを設定してIMDSv2アクセスのみ許可し、Amazon InspectorのEC2スキャンを有効化してCVSS重要度別CVEを継続的に可視化する。EC2起動テンプレートのhttpTokens=requiredはIMDSv1へのアクセスを即時禁止する。Amazon InspectorはエージェントレスでCVSSスコア付きCVEを継続評価し、優先順位に基づく修正計画を提供する。

Answer

AWS ConfigルールでIMDSv1使用インスタンスを継続検出し、Systems Manager Patch ManagerでCVSSスコア順にセキュリティパッチを自動適用する — AWS ConfigルールはIMDSv1使用インスタンスを検出するが自動修復は行わず、Systems Manager Patch ManagerはパッチKB単位で適用するがCVSSスコアによるCVE優先順位付け評価を提供しない。

Answer

AWS ConfigルールでIMDSv1インスタンスを検出後、SSM AutomationドキュメントでhttpTokens設定を自動修復し、Systems Manager Patch Managerで優先度順のパッチ適用を定期実施する — AWS Config+SSM Automationによる自動修復は検出から修復まで時間差が生じるため即時防止にならず、Systems Manager Patch ManagerはInspectorのようなCVSSベースCVE評価機能を持たない。

Answer

EC2起動テンプレートでhttpPutResponseHopLimit=1を設定してコンテナからのSSRFを緩和し、Amazon InspectorのEC2スキャンを有効化してCVSS重要度別CVEを継続的に可視化する — EC2のhttpPutResponseHopLimit=1はコンテナからのマルチホップSSRFを緩和するが、同一ホストEC2上のSSRFではIMDSv1へのアクセスを防げないためメタデータ漏洩の再発防止に不十分。

解説