個別のチェック項目を無効化できるようになりました。controlshttps://aws.amazon.com/jp/about-aws/whats-new/2020/01/aws-security-hub-releases-ability-disable-specific-compliance-controls/個人的に待ち望んでいた機能であったため、こちらについてまとめます。公開しているAWSアカウントの基本的なセキュリティを実装するための技術的なベストプラクティスです。コンプライアンス要件で業界標準のベストプラクティスとの記載があった場合などに参照されます。Benchmarkのv1.2.0では49項目の推奨事項があり、以下のような構成になっています。AWS環境全体のセキュリティとコンプライアンスの状況を確認可能なサービスです。定義されている各項目を自動的かつ継続的にチェック※することができます。Hubではサポートされていません。VPCピアリングのルーティングテーブルが「最小アクセス」であることを確認するこれらを除いた全42項目のチェックが行われるわけですが、今回のアップデートで項目単位でチェックを無効化できるようになりました。Benchmarkで提供されるベストプラクティスは推奨事項ですのであらゆる環境で必ず全て準拠しなければならないというものではありません。以下のような場面で活用が期待できます。関わる項目パスワードポリシーに関連する項目は組織やシステムレベルで既にルールが決まっているケースもあります。文字以上の長さが要求されていることを確認する」という推奨事項があります。有効にする」ではコンソールパスワードの他に多要素認証(MFA)の使用を推奨しています。1.2を必須とし、安全対策が十分と判断できるのであれば、組織やシステム環境によっては14桁以上のパスワードは必須ではないと考えることができる場合もあります。Hubはリージョナルサービスです。Hubを有効化する必要があります。Loggingや後述するMonitoringに関する推奨事項は実運用を考えると、全てのリージョンで完全な準拠を目指すことは難しくなります。バケットアクセスログが有効であることを確認する」という推奨項目があります。推奨項目ではCloudTrailでマルチリージョンの証跡が有効化されているかどうかを確認します。設定する必要があります。東京リージョンでマルチリージョンの証跡を有効化する場合、ログを保存するS3バケットも東京リージョン作成することになります。Hubは自分と同じリージョンのバケットしか参照できません。Hubは証跡が保存されているS3バケットの設定を確認できません。Hubは以下のように対象のリソースが見つからないという「警告」という結果を返します。複数アカウントのログを1つのバケットに集約しているような場合も同じような状況になります。このような場合ではマルチリージョンの証跡を取得しているリージョンやアカウント以外ではチェックを無効化することができるでしょう。Monitoringに関わる項目Loggingと同様の理由です。Monitoringの全14項目に準拠するにはCloudTrailのログをCloudWatchでモニタリングし特定の操作が発生した場合に、SNSによってメール通知する設定が必要です。東京リージョンでマルチリージョン証跡を有効化している場合は東京リージョンのCloudWatch/SNSにモニタリングの設定を行う必要があります。Hubは東京リージョンのモニタリングの設定を確認することはできないので以下のように「警告」のステータスとなります。全てのリージョンでCloudTrailを設定し、モニタリングの設定を行うこともできなくはないですが同じ内容のログが複数のリージョンで取得される1つのアラーム結果がリージョンの数だけ重複して通知されるなどかなり冗長な設定となります。コンプライアンス標準の準拠率をあげるために冗長なログを取得してコストをかけるというのは本末転倒です。このような場合はモニタリングを行うリージョン以外では3.Monitoringの14項目を全て無効化してしまうほうが運用しやすいはずです。「ルート」アカウントの使用に対してログメトリクスフィルタとアラームが存在することを確認する」の定義が適切に設定されていることを確認するため、その他のリージョンでは同じく結果は「警告」となります。無効化を行う手順はとても簡単です。各チェック項目に表示されている「無効化」を選択します。無効化時は必ずチェックを無効にする理由を入力する必要があります。理由を入力後、無効化をクリックします。この操作によりチェックの対象外となり、準拠率の計算からも外されるようになります。誰でも簡単に無効化できないように、IAMユーザーに渡す権限には注意する必要があります。画面ポチポチでリージョンを切り替えて操作するのはとても辛いと思います。その場合、CLIやSDK経由で一括で無効化してしまうのがよいかと思います。CLIの場合、以下のようなコマンドで無効化/有効化を切り替えることができます。アカウントIDの箇所は読み替えてください。残念ながら2020年1月時点ではコンプライアンス標準に関連する操作には対応していません。Hubは複数アカウント出力結果を1つのマスターアカウントに連携して管理することができます。マスターアカウント、メンバーアカウントでそれぞれを無効化した場合、以下のような挙動になります。メンバーアカウントで項目を無効化した場合マスターアカウントは各メンバーアカウントの結果を統合して確認することができます。メンバーアカウントで項目を無効化すると、そのアカウントの情報はマスターアカウント側の結果一覧から除外されます。反映は即時ではなく、一定の時間がかかります。以下は実際に複数アカウントを接続しているマスターアカウントからみたコンプライアンス標準の結果です。結果については1つのメンバーアカウントで無効化を行ったため、合計が12アカウントとなっていることがわかります。マスターアカウントで項目を無効化した場合マスターアカウントで項目を無効化すると、メンバーアカウントの結果も確認できなくなります。個々のメンバーアカウントでは引き続きチェックが行われます。マスターからメンバーアカウントへ無効化の設定が自動で引き継がれることはありません。Referencehttps://docs.aws.amazon.com/cli/latest/reference/securityhub/update-standards-control.html以上です。requestStockLike2@hayao_kインフラ大好きです。掲載内容は個人の見解であり、所属する企業を代表するものではありません。Follow株式会社セゾン情報システムズモード1(守りのIT)・モード2(攻めのIT)を兼ね備えたバイモーダル・インテグレーターとしてFintechプラットフォーム、流通ITサービス、HULFT事業およびセンターマネジメントサービスを提供します。upLoginユーザーは見つかりませんでした。