どうも、オーリスの「コックピットデスク男」ことマキハラです。

デスクがコックピットみたいになってるんです。ガジェット好きなんです。また紹介したい。。。

余談はさておき、前回の記事では、サーバーレスアーキテクチャの基本と活用方法についてご紹介しました。

今回は、前回予告した通り「AWSを安全に活用するためのセキュリティ対策」について解説していきます。休日にセキュリティの本を読んでいたら急に書きたくなったので、またもや勢いのまま書いています。

当社でもAWSを活用した多くのプロジェクトを手がけていますが、クラウド環境のセキュリティは常に重要課題です。今回はその知見を共有していきます。

クラウド環境のセキュリティ責任共有モデルとは？

AWSをはじめとするクラウドサービスでは「責任共有モデル（Shared Responsibility Model）」が基本となります。これは、インフラやプラットフォームの安全性はクラウドプロバイダー（AWS）が担保し、その上で構築するアプリケーションやデータのセキュリティはユーザー側が責任を持つという考え方です。クラウドは便利ですが、すべてのセキュリティがAWS任せになるわけではなく、利用する側も適切な対策を講じる必要があるのです。

【具体例】セキュリティインシデントの例

実際に発生したクラウドセキュリティインシデントの一例を見てみましょう：

• S3バケット公開によるデータ漏洩： 大手企業がS3バケットの権限設定ミスにより、顧客情報を含むデータが公開状態になり、外部から発見されるインシデントが複数報告されています。
• IAM認証情報の漏洩： GitHubなどのコード共有サイトにAWSのアクセスキーを誤ってコミットしてしまい、それを悪用した不正アクセスや仮想通貨マイニングに利用されるケースが増加しています。
• 権限昇格の攻撃： 最小限の権限を持つIAMロールが適切に設定されておらず、攻撃者がより高い権限を取得して環境全体にアクセスできるようになるケースがあります。

1. IAMの適切な設定

   最小権限の原則に基づき、必要な権限のみを付与します。ルートユーザーの使用を最小限に抑え、MFA（多要素認証）を必ず有効化しましょう。また、IAMユーザーにはグループを通じて権限を付与し、直接ポリシーをアタッチすることは避けるべきです。

2. S3バケットのセキュリティ強化

   S3バケットのパブリックアクセスブロック設定を適用し、意図しない公開を防止します。また、暗号化（サーバーサイド暗号化）を有効化し、重要データを保護しましょう。バケットポリシーとIAMポリシーを併用して、きめ細かなアクセス制御を実装することも重要です。

3. ネットワークセキュリティの確保

   VPCを適切に設計し、パブリックサブネットとプライベートサブネットを分離します。セキュリティグループとNACLを併用して、多層防御を構築しましょう。また、VPC Flow Logsを有効にして、ネットワークトラフィックを監視することも有効です。

4. データ保護と暗号化

   保存データ（S3、EBS、RDSなど）と転送中のデータ（SSL/TLS）の両方を暗号化します。KMS（Key Management Service）を活用して、暗号鍵を安全に管理しましょう。また、機密データには追加のアクセス制御を実装することをお勧めします。

5. 継続的なモニタリングと検知

   CloudTrail、CloudWatch、GuardDuty、Security Hubなどを組み合わせて、包括的な監視体制を構築します。異常検知と自動アラートを設定し、インシデントへの迅速な対応を可能にしましょう。

6. セキュリティ設定の自動化

   CloudFormationやAWS CDKを使用してインフラをコード化し、一貫したセキュリティ設定を維持します。AWS Configのルールを活用して、非準拠のリソースを自動検出・修復しましょう。

7. セキュリティのベストプラクティスの適用

   AWS Well-Architected Frameworkのセキュリティの柱や、CIS AWSベンチマークなどの業界標準に基づいてセキュリティを設計・評価します。定期的なセキュリティ評価と脆弱性テストを実施しましょう。

AWS環境でのインシデント対応ステップ

1. 準備（Preparation）

   CloudTrail、GuardDuty、Security Hubなどのモニタリングサービスを設定し、インシデント対応チームの役割と責任を明確にします。対応手順を文書化し、定期的な訓練を実施しましょう。

2. 検知（Detection）

   設定したモニタリングツールからのアラートや異常を検知します。GuardDutyの検出結果、CloudTrailの不審なAPI呼び出し、CloudWatchアラームなどを監視しましょう。

3. 封じ込め（Containment）

   影響を受けた可能性のあるリソースを特定し、被害の拡大を防ぐ措置を講じます。例えば、侵害されたIAM認証情報の無効化、問題のあるEC2インスタンスのネットワーク分離などを行います。

4. 根絶（Eradication）

   侵入経路や脆弱性を特定し、根本的な問題を解決します。不正なリソースの削除、セキュリティ設定の強化、パッチの適用などを実施しましょう。

5. 復旧（Recovery）

   安全なバックアップから正常なシステム状態に復元します。リージョン間バックアップ、スナップショット、AMIなどの復旧メカニズムを活用し、新しい認証情報の発行、強化されたセキュリティ対策の実装、段階的なサービス再開などを計画的に行いましょう。

6. 振り返り（Post-Incident Review）

   インシデントの経緯と対応を文書化し、学んだ教訓を今後のセキュリティ対策に反映させます。必要に応じてインシデント対応計画を更新し、再発防止策を強化しましょう。

AWS環境の基本セキュリティチェックリスト

• □ ルートユーザーにMFAを有効化し、日常的な操作には使用していない
• □ IAMユーザーへの権限は最小権限の原則に基づいて付与している
• □ 重要なIAMユーザーにはMFAを義務付けている
• □ IAMパスワードポリシーは十分に強固に設定している
• □ アクセスキーは定期的にローテーションしている
• □ CloudTrailを全リージョンで有効化している
• □ S3バケットのパブリックアクセスブロック設定を有効化している
• □ 重要なデータは暗号化している（S3、EBS、RDSなど）
• □ セキュリティグループの設定は必要最小限のアクセスのみ許可している
• □ VPCフローログを有効化している
• □ GuardDutyを有効化し、アラートを設定している
• □ AWS Configでコンプライアンスルールを設定している
• □ セキュリティの検出結果を一元管理するSecurity Hubを有効化している
• □ 定期的にAWS Trusted Advisorのセキュリティチェックを確認している
• □ インシデント対応計画を策定し、定期的に見直している

AWSセキュリティのポイント（まとめ）

• 責任共有モデルを理解し、ユーザー側の責任範囲を明確にする
• 最小権限の原則に基づいたIAM設定でアクセス制御を強化する
• 機密データは必ず暗号化し、適切なキー管理を行う
• 継続的なモニタリングと自動アラートで早期検知・早期対応を実現する（Security Hub + EventBridge + Lambdaなどの連携が効果的）
• セキュリティ設定の自動化と定期的な監査でヒューマンエラーを減らす

AWS環境のセキュリティ診断・対策をご検討ですか？

岡山のシステム開発企業・オーリスがAWSセキュリティの知見を活かし、お客様に最適なソリューションをご提案します。まずはお気軽にご相談ください。