「CloudSploit」を使ってAWSのセキュリティチェックを試してみた

こんにちは!
開発部の武内です。

弊社は様々なサービスを提供していますが、
バックエンドのほとんどをクラウドサービスで構成しています。

クラウドはオンプレミス以上にセキュリティ面に気を遣う必要がありますが、
サービスが増えたり大きくなるに比例してクラウド資産も増えるため、
セキュリティチェックのコストも膨れ上がっていきます。

コストを抑えるにはやはり技術的なアプローチで解決したい、ということで
AWSの自動セキュリティチェックサービスであるCloudSploitを試してみました。

CloudSploit

AWSアカウントに対して様々なセキュリティ・設定のチェック、
またそれらの継続的な監視を行うことができるWebサービスのようです。

sploit01

  • 開放されているセキュリティグループ
  • VPCの設定ミス
  • セキュリティのベストプラクティスの指摘
  • ルートアカウントのセキュリティ

等がチェックできるようですね。

アカウント作成

トップページの「Start your FREE account」からアカウント登録を行います。

sploit02

メールアドレスとパスワードを入力し「Create Account」をクリックすると
認証メールが送られてくるので内容を確認し認証を行います。

AWSアカウントと接続する

認証後ログインするとダッシュボードが表示されます。

sploit03

「Connect an AWS Account」をクリックして
「Account Connection Wizard」に進みます。

sploit04

接続名を設定します。
ここでは接続名をMyAccountとし、グループはデフォルトとしました。

sploit05

接続後のロールを設定します。
手動でも設定できるようですがここではCloudFormationとしました。

sploit06

「External ID」は後ほど使うので控えておきます。
「Launch Stack」をクリックしてCloudFormationに進みます。

sploit07

テンプレートは既に選択されているのでそのまま次に進みます。
中身を見てみると、接続用のAssumeRoleを作っています。

sploit08

スタック名は初期設定のままとしました。
「パラメータ」に先ほど控えた「External ID」を入力し次に進みます。

sploit09

Nameタグを設定し次に進みます。

sploit10

CAPABILITYの承認にチェックを入れスタックを作成します。

sploit11

スタックが作成されました。

sploit12

作成されたIAMロールを確認します。
「ロールARN」は後ほど使うので控えておきます。

sploit13

CloudSploitに戻り、
「IAM Role ARN」に先ほど控えた「ロールARN」を入力し「Connect」をクリックします。

sploit14

AWSアカウントとの接続が完了しました!

セキュリティ・設定チェック

ダッシュボード -> Connected Accounts -> AWS Accounts
に接続したAWSアカウントが表示されています。

以下でチェックを行っているAWSアカウントは弊社資産ではなく私個人のものです。

sploit15

「Scan」をクリックしセキュリティ・設定チェックに進みます。

sploit16

AWS認証情報を入力するとありますが、
アカウント接続が済んでいるのでここでは必要ありません。

sploit17

利用規約を確認し「Begin Scan」をクリックするとチェックが始まります。

sploit18

チェック結果のFAIL確認するとCloudTrailが有効になっていないとあります。
こういった直接の脆弱性ではないものもFAILと判断されるようです。

sploit19

VPCを追加して再度チェックしてみました。
デフォルトのセキュリティグループを使っていることとサブネットが一つしかないことがFAILとなりました。
かなり細かなチェックも行われますね。

気になる機能

これ以上の機能は基本的に有料のため今回は試せていませんが、
チェック結果からの分析・レポートを行うような機能も充実しているようです。

CloudWatch EventsからCloudSploitを呼び出す機能は、
例えばAWSリソースが増えた場合にチェックを走らせるといったことができそうですね。

sploit20

Alerts機能はAWSと外部ツールの優れたアダプタとなりそうです。

sploit21

おわりに

クラウドサービスの変化は早く、それを取りまくツールもどんどん変わっていきます。
追従していくのは大変ですが、そのスピード感が楽しいところでもあります。

皆さまの快適なクラウド開発の一助になれば幸いです。

Pocket