AWSクラウドインフラストラクチャを攻撃から保護する方法

公開: 2022-05-07

ますます多くのビジネスがクラウドに移行するにつれて、AWSインフラストラクチャを保護することの重要性がますます明らかになっています。 AWSは、システムの保護に役立ついくつかのセキュリティ機能を提供しますが、最終的には、それらを正しく実装し、インフラストラクチャを最新の状態に保つのはユーザーの責任です。このブログ投稿では、AWSクラウドインフラストラクチャを攻撃から保護するための最良の方法のいくつかについて説明します。 Log4Shellの脆弱性で説明されているように、インフラストラクチャがどのように公開されるかを調べることができます。

AWSへの攻撃の種類を理解する

AWS環境を適切に保護する前に、攻撃の種類を理解することが不可欠です。 AWSに対する攻撃には主に2つのタイプがあります。

インフラストラクチャ攻撃：これらの攻撃は、AmazonEC2インスタンスやAmazonS3バケットなどのAWSアカウントの基盤となるインフラストラクチャを標的とします。
アプリケーション攻撃：これらの攻撃は、WebアプリケーションやAPIなど、AWSで実行されているアプリケーションを標的とします。

アプリケーション攻撃はインフラストラクチャ攻撃よりも一般的ですが、どちらも真剣に受け止める必要があります。

多要素認証を実装する

AWSアカウントを保護するための最良の方法の1つは、多要素認証（MFA）を有効にすることです。 MFAは、物理的なMFAデバイスからのコードと、ユーザー名とパスワードの入力を要求することにより、セキュリティの層を追加します。これにより、攻撃者があなたの資格情報を持っていても、攻撃者があなたのアカウントにアクセスするのがはるかに困難になります。

MFAを有効にしたら、アカウント内の機密リソースにアクセスする必要があるすべてのユーザーにMFAを要求してください。さらに、可能であれば、MFAでIAMロールを使用することも検討する必要があります。 IAMロールを使用すると、ユーザーに資格情報を付与せずに一時的なアクセスを許可できます。 MFAでIAMロールを使用すると、アカウントを不正アクセスからさらに保護できます。

AWSアカウントにMFAを実装する方法はいくつかあります。一般的なオプションの1つは、Amazon Web Services（AWS）Multi-Factor Authentication（MFA）トークンを使用することです。このトークンは、AWSアカウントにログインするときに入力する必要がある一意のコードを生成する物理デバイスです。もう1つのオプションは、スマートフォンでGoogle認証システムアプリを使用することです。このアプリは、AWSアカウントを含む複数のアカウントのコードを生成できます。

最後に、SymantecやRSAなどの企業のハードウェアトークンを使用することもできます。これらのトークンはコンピューターに接続し、AWSアカウントにログインするときに入力する必要のあるコードを生成します。

重要なリソースへのアクセスを制限する

AWSインフラストラクチャを保護するためのもう1つの重要なステップは、重要なリソースへのアクセスを制限することです。これは、IAMポリシーとリソースベースのポリシーを使用して行うことができます。

IAMポリシーを使用すると、AWSアカウントにアクセスできるユーザーと、そのアクセスで何ができるかを制御できます。たとえば、特定のユーザーのみがCloudTrailログを表示できるようにするポリシーや、特定のユーザーのみがEC²インスタンスを起動できるようにするポリシーを作成できます。

リソースベースのポリシーはIAMポリシーに似ていますが、リソースレベルで適用されます。たとえば、特定のユーザーのみがSNSトピックにアクセスできるようにする、または特定のユーザーがS33バケットからオブジェクトを削除することのみを許可するリソースベースのポリシーを作成できます。重要なリソースへのアクセスを制限することで、権限のないユーザーが機密データにアクセスしたり、インフラストラクチャを変更したりするのを防ぐことができます。

セキュリティグループとネットワークACLを使用する

IAMポリシーとリソースベースのポリシーの使用に加えて、セキュリティグループとネットワークACLの使用も検討する必要があります。

セキュリティグループはEC2インスタンスのファイアウォールとして機能し、インスタンスに出入りできるトラフィックを制御できるようにします。ネットワークACLは、VPCに同様の機能を提供します。これらのセキュリティ機能を適切に設定することで、AWSインフラストラクチャへのアクセスをさらに制限できます。

最後に、セキュリティのベストプラクティスを使用してシステムを強化することも忘れないでください。これには、強力なパスワードの使用、ソフトウェアの最新の状態の維持、データのバックアップなどが含まれます。ベストプラクティスに従うことで、攻撃者がシステムやデータにアクセスするのを防ぐことができます。

セキュリティのベストプラクティスでシステムを強化する

最も重要なセキュリティのベストプラクティスには、次のものがあります。

強力なパスワードの使用
ソフトウェアを最新の状態に保つ
データのバックアップ
転送中の機密データの暗号化
保存中の機密データの暗号化

インフラストラクチャの弱点を定期的に監査する

インフラストラクチャの弱点を定期的に監査することは、AWS環境を保護するためのもう1つの重要なステップです。 AmazonInspectorやAWSConfigなど、多くのツールがこれを行うのに役立ちます。

Amazon Inspectorは、AWS環境の潜在的なセキュリティの脆弱性を特定するのに役立つ自動セキュリティ評価サービスです。 Inspectorは、PCI-DSSやCISベンチマークなどのさまざまなセキュリティ標準に対するシステムのコンプライアンスを評価します。

AWS Configは、AWSリソースのインベントリを提供し、それらのリソースに対する構成の変更を経時的に追跡するサービスです。 Configを使用すると、インフラストラクチャを監査して、内部ポリシーまたは外部規制に準拠しているかどうかを確認できます。

CloudTrailを使用して不正なアクティビティを検出する

インフラストラクチャの監査に加えて、CloudTrailを使用して不正なアクティビティを検出することも検討する必要があります。 CloudTrailは、アカウントで行われたAWS API呼び出しを記録し、それらをAmazonSNSトピックまたはAmazonSQSキューに配信するサービスです。これらのAPI呼び出しは、S33バケットから重要なデータを削除しようとしている人などの疑わしいアクティビティを監視できます。 CloudTrailを使用すると、AWS環境での不正なアクティビティを確実に検出し、迅速に処理できます。

AmazonGuardDutyで疑わしい動作を監視する

GuardDutyは、CloudTrailログやVPCフローログなどのさまざまなソースからのデータを分析して、潜在的に悪意のある、または不正なアクティビティを特定する脅威検出サービスです。

GuardDutyが疑わしいアクティビティを検出すると、設定したAmazonSNSトピックまたはAmazonSQSキューにアラートを送信します。これにより、脅威を迅速に軽減するための調査とアクションを実行できます。さらに、GuardDutyは、AmazonMacieやAWSSecurityHubなどの他のAWSセキュリティサービスと統合されています。