Inspectorに新しいルールパッケージが追加されてEC2インスタンスに対するネットワークアクセス制御を評価できるようになりました。Inspectorに新しいルールパッケージが追加されてEC2インスタンスに対するネットワークアクセス制御を評価できるようになりました。中山順博(72)57この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。Inspector従来は侵入テスト申請を実施した上でポートスキャンを実行したり、机上でネットワークアクセス制御の設定を評価する必要があったかと思いますが、このアップデートによってこれらの負担が軽減されることになります。できること端的に表現すると、「実質的に」ポートスキャンのようなことができます。評価対象のEC2インスタンスに対して、インターネットからアクセス可能なポートが存在しないか評価することができます。Groupなどの各種ネットワークリソースの設定を分析しています。評価対象のリソースは以下の通りです。connectionsInspectorは評価対象のインスタンスにエージェントをインストールして利用する必要がありました。このルールパッケージでの評価はエージェントレスで利用可能です。エージェントがインストールされている場合にはインスタンスで動作しているプロセスの情報なども評価結果に含まれます(どのプロセスでポートがリスニング状態になっているか)。評価結果には、アクセス経路に関する情報も含まれます("REACHABILITY_TYPE"として結果に記載されています)。結果は以下の3つに分類されます。Inspectorで独自に指定されたよく使われるポートでEC2インスタンスに到達可能UnrecognizedPortWithListenerRecognizedPort以外のポートでEC2インスタンスに到達可能プロセス/サービスがそのポートでリスニング状態になっている重要度はLowと評価されるNetworkExposureインターネットから到達可能なポート(レンジ)プロセス/サービスがそのポートでリスニング状態かどうかは評価していない重要度はInformationと評価されるさらに、RecognizedPortは以下の3つに分類されます。RecognizedPortWithListenerプロセス/サービスがそのポートでリスニング状態になっているRecognizedPortNoListenerプロセス/サービスがそのポートでリスニング状態になっていないRecognizedPortNoAgentプロセス/サービスがそのポートでリスニング状態になっているか判断できない(エージェントレス)詳細はドキュメントを確認してください。Reachabilityやってみた実際に評価してみました。以下のAMIからインスタンスを作成しました。(ami-06cd52961ce9f0d85)これらのインスタンスをパブリックサブネット(デフォルトルートがインターネットゲートウェイになっているサブネット)に配置します。セキュリティグループの設定では以下のインバウンド通信を許可しました。LinuxSSH0.0.0.0/0評価ターゲットの作成まず、評価ターゲットを作成します。Profile)で付与しています)。次に、評価ターゲットを作成します。ターゲット名に作成した表かターゲットを指定します。ルールパッケージに今回新たに提供されたルールパッケージを指定します。評価ターゲットを作成したら、評価を実行します。所要時間を1時間として評価ターゲットを作成したため、しばらく待ちます。「評価の実行」から実行結果を開くと、今回は5件の問題を検出していました。実質的に問題は2件(SSHおよびRDPで任意のIPアドレスからアクセスできる)ですが、ここでは割愛します。そのうちの1件の詳細を確認してみます。展開すると、詳細が表示されます。「結果」にはどのような問題なのかが記載されています。この結果ではSSHでアクセスされうることが指摘されています。「説明」にはどういった経路で到達可能かが記載されています。Gateway)が挙げられています。「推奨事項」には、この問題をどのように解決するべきかが記載されています。Groupの修正が推奨されています。次に詳細を確認してみます。クリックするとJSONで表示されます。Agentをインストールしている場合、プロセスに関する情報が含まれます。具体的にはPIDやPathを確認できます。REACHABILITY_TYPE(Internet)やRULE_TYPE(RecognizedPortWithListener)も確認できます。RDPに起因する結果も似たような形で確認できます。まとめ新しいルールパッケージにより、ネットワークアクセス制御の不備を簡単に検出することができるようになりました。このルールパッケージによって評価の手間も精度も向上することが期待されます。現在の環境で評価してみてはいかがでしょうか?現場からは以上です。〜ITエンジニアのお仕事とホンネ〜2月19日に新卒向けの会社説明会〜ITエンジニアのお仕事とホンネ〜を開催します。リモート】クラスメソッドの会社説明会を開催しますクラスメソッドでは、AWS・AI・ビッグデータ・モバイルなどの技術職や営業のメンバーとして一緒にお仕事をする仲間を大募集しています。#cmdevio新型コロナウイルスの感染拡大を受け、本イベントを延期させていただくことになりました(開催時期未定)。お申し込みいただいた皆様には大変申し訳ございませんが、何卒ご理解いただけますようよろしくお願いいたします。AWSについてライトに色んな情報交換をしましょう。カフェ店長のオカノです。使いたいときの注意点を書きました。EC2)環境において、不要な踏み台サーバをなくすことができる便利なアップデートです。環境をDockerで構築してみました。臼田佳祐294ワークフロー自動化OSSのn8nをAWS環境で建てて検証してみました。非常に期待できるサービスです。Fargateの勉強をしています。使ってみたい方は参考にしてください。洋介252SnowflakeがAWSの東京リージョン上で稼働するようになりました。データを日本に置けます。芳賀健229こんにちは!猫様の忠実なるしもべ、芳賀健です。Tokyoで開催されました。クラスメソッド株式会社が運営するAWS・iOS・HTML5に関する技術情報サイトです。