ある大企業は AWS Organizations を使用して 40 のメンバーアカウントを管理しています。セキュリティチームは、S3 バケット・IAM ロール・KMS キー・Lambda 関数・SQS キューなどのリソー

Question

ある大企業は AWS Organizations を使用して 40 のメンバーアカウントを管理しています。セキュリティチームは、S3 バケット・IAM ロール・KMS キー・Lambda 関数・SQS キューなどのリソースが、組織外の AWS アカウントやインターネットから意図せずアクセス可能になっていないかを継続的に検出したいと考えています。新たに外部アクセス可能なリソースが検出された場合、セキュリティチームに即座に自動通知する必要があります。最もコストが低く、運用負荷の少ない方法はどれですか？

Accepted Answer

正解: AWS Organizations の管理アカウントで IAM Access Analyzer を「組織」ゾーン・オブ・トラスト（Zone of Trust：信頼の境界）として有効化し、新規 Finding（検出結果）生成時に EventBridge ルールで SNS トピックへルーティングして通知する。IAM Access Analyzer は、S3 バケット・IAM ロール・KMS キー・Lambda 関数・SQS キュー・Secrets Manager シークレットなどのリソースポリシーを継続的に分析し、ゾーン・オブ・トラスト外からアクセス可能なリソースを自動検出します。AWS Organizations レベルで有効化すると組織内の全アカウントが信頼ゾーンとなり、組織外（外部 AWS アカウント・インターネット）からのアクセスを一元的に検出できます。新規 Finding は EventBridge イベントとして自動発行されるため、SNS へのルーティングで即座の通知が実現でき、Lambda 開発不要で最も運用負荷が低い構成です。
【各不正解の理由】A: Config カスタムルールでも実現可能ですが、Lambda でのポリシー評価ロジックの実装・維持が必要で、Access Analyzer に比べて開発・運用コストが高くなります。C: GuardDuty は脅威インテリジェンスや機械学習を用いた脅威検出に特化しており、リソースポリシーの外部アクセス可否を評価する機能はありません。D: CloudTrail + Lambda のアプローチは実装可能ですが、ポリシー評価ロジックの実装が必要なうえ、ポリシー変更がない既存リソースの外部アクセスを検出できないという欠点があります。

Answer

各メンバーアカウントで AWS Config カスタムルールを作成し、リソースポリシーを Lambda で定期的に評価して、組織外アクセスを検出したら SNS トピックに通知する — AWS Config カスタムルールでも実現可能ですが、リソースポリシーを評価する Lambda のロジックを実装・維持する必要があり、Access Analyzer と比べて開発・運用コストが高くなります。

Answer

Amazon GuardDuty を全アカウントで有効化し、異常なリソースアクセスパターンを機械学習で検出して通知する — GuardDuty は脅威インテリジェンスや機械学習による脅威検知に特化しており、リソースポリシーが外部からアクセス可能かを評価する機能は持たないため、本要件には適しません。

Answer

CloudTrail で PutBucketPolicy・PutKeyPolicy などのポリシー変更 API を EventBridge で監視し、Lambda でポリシー内容を評価して SNS 通知する — CloudTrail＋Lambda でも実装可能ですが、ポリシー評価ロジックの実装が必要なうえ、ポリシー変更を伴わない既存リソースの外部アクセスを検出できないという欠点があります。

解説

解説