AWSアカウントのセキュリティ対策は、クラウド環境を安全に保つために非常に重要です。その中でも、CIS（Center for Internet Security）ベンチマークは、業界標準のガイドラインとして多くの企業で利用されています。この記事では、AWSアカウントでCISベンチマークを適用する方法と、そのポイントについて解説します。
CISベンチマークとは？
CISベンチマークは、情報セキュリティのベストプラクティスを提供する非営利団体であるCenter for Internet Securityが作成したガイドラインです。AWS環境向けのベンチマークも存在し、AWSアカウントやリソースにおいて推奨されるセキュリティ設定を体系的にまとめています。このベンチマークに従うことで、組織はセキュリティリスクを低減し、クラウド環境のコンプライアンスを強化することができます。
CISベンチマークに基づくAWSアカウントのセキュリティ設定
AWSアカウントにCISベンチマークを適用する場合、以下の領域にわたって設定を見直すことが推奨されます。
Identity and Access Management
ルートアカウントはAWSアカウント全体へのフルアクセス権限を持つため、慎重な管理が必要です。また、IAMユーザーやグループを適切に管理することも重要です。CISベンチマークのIdentity and Access Managementのカテゴリでは、ルートアカウントやIAMに対して対策を推奨しています。
以下はIdentity and Access Managementのカテゴリの推奨事項の一部です。
多要素認証（MFA）の有効化
ルートアカウントに対してMFAを設定することで、不正アクセスのリスクを減らします。
アクセスの最小化
ルートアカウントを日常的に使用せず、IAMユーザーやIAMロールを使って必要な権限のみを付与します。
ポリシーの最小特権化
IAMポリシーは最小権限を与えることを基本とし、必要な権限のみを付与します。
パスワードポリシーの強化
IAMユーザーに対するパスワードポリシーを設定し、強度を確保します。
アクセスキーの管理
不要なアクセスキーは無効化し、長期間使用されていないアクセスキーも削除するようにします。
Storage
S3やRDSの設定に不備がある場合、情報漏洩のリスクが非常に高くなります。CISベンチマークのStorageカテゴリでは、S3やRDSの対策について推奨しています。以下はStorageカテゴリの推奨事項の一部です。
S3バケットのアクセス制御
S3バケットに対して適切にアクセス制御するようにします。
RDSインスタンスのアクセス制御
RDSをホストするインスタンスに対して適切にアクセス制御するようにします。
LoggingとMonitoring
ログの取得と監視は、セキュリティインシデントの早期検出に不可欠です。また出力したイベントが適切にモニタリングされることが不可欠です。
CloudTrailの有効化
AWS CloudTrailを使って、すべてのアカウントアクティビティを監視し、異常な操作や不正アクセスを検出できるようにします。
S3バケットログの設定
CloudTrailログを保存するS3バケットには、アクセス制御を設定し、不正なアクセスを防止します。
イベント監視
出力したイベントで条件を設定し条件にヒットするイベントが発生した場合は受信してイベントを確認します。
Networking
VPCやセキュリティグループの設定を適切に行い、外部からのアクセスを最小限に抑えます。
セキュリティグループのルール管理
セキュリティグループのルールは最小限にし、不要なポートやIPアドレスの許可を避けます。
パブリックアクセスの制限
インターネットに公開するリソースは必要最小限に抑え、アクセスを制御します。
ベストプラクティスを実装する際のポイント
CISベンチマークを実施する際には、単にガイドラインに従うだけでなく、業務に合わせた柔軟な運用も重要です。以下の点に留意しながら導入を進めると良いでしょう。
段階的な導入
CISベンチマークをすべてのリソースに一度に適用するのではなく、優先順位をつけて段階的に導入することで、運用負荷を軽減できます。
例外ルールの設定
一部のリソースについては、例外的に設定を緩和することも検討しましょう。業務要件や技術的制約を踏まえた例外ルールを設定することで、柔軟なセキュリティ運用が可能です。
継続的な監査と改善
セキュリティ対策は導入して終わりではありません。定期的に監査を実施し、必要に応じて設定を見直すことで、セキュリティの水準を維持します。
Matrix InspectによるAWSアカウント検査のサポート
弊社では脆弱性診断・ペネトレーションテストを提供するMatrix InspectでAWSアカウントを検査するオプションを提供しています。当サービスではCISで推奨される設定項目の検査、並びに弊社が重要であると判断するWeb対策関連の項目を追加し、検査を行い、報告書を提供しています。
まとめ
CISベンチマークは、AWSアカウントのセキュリティを高めるための強力なガイドラインです。特に、IAMの適切な管理やログ監視、ネットワーク設定の強化など、クラウド環境でのリスク管理に不可欠な項目がカバーされています。CISベンチマークをAWS環境に適用し、継続的なセキュリティ強化を行うことで、安全で信頼性の高いクラウド環境を構築しましょう。