【アップデート】AWS Security Hub の『AWS 基礎セキュリティのベストプラクティス』に新たに7個のチェック項目が追加されました

あしざわ

2023.03.31

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

みなさん、こんにちは。

明るい笑顔がトレードマークの芦沢(＠ashi_ssan)です。

みなさん、Security Hubの運用できていますか？

AWS Security Hubの『AWS 基礎セキュリティのベストプラクティス v1.0.0』に新たに 7個のチェック項目(コントロール)が追加されました。

本エントリでは、新規追加されたコントロールに関する情報を簡単なコメント付きで紹介していきます。

新規コントロール一覧

[ElastiCache.1] ElastiCache for Redisクラスターでは、自動バックアップをスケジュールする必要があります。
[ElastiCache.2] ElastiCache for Redisキャッシュクラスターのマイナーバージョンの自動アップグレードが有効であること
[ElastiCache.3] ElastiCache for Redisのレプリケーショングループで、自動フェイルオーバーを有効にしてください
[ElastiCache.4] ElastiCache for Redisのレプリケーショングループで、保管時の暗号化を有効化する必要があります
[ElastiCache.5] ElastiCache for Redisのレプリケーショングループで、転送時の暗号化を有効化する必要があります
[ElastiCache.6] バージョン 6.0 より前の Redis レプリケーショングループ用 ElastiCache では、Redis AUTH を使用する必要があります
[ElastiCache.7] ElastiCache クラスターは、デフォルトのサブネットグループを使うべきではありません

重要度: High

コメント:

自動バックアップを有効化した場合、別途追加のコストが発生したり、バックアップ時にパフォーマンスに影響があるなど注意すべき点があります。システムの重要度と比較して検討してください。
コストやパフォーマンス劣化が許容できる場合、耐障害性を考慮して自動バックアップは有効化しておくことを推奨します。ただし、セッション等の一時的に消失しても問題ない情報のみを扱っている場合は無効化でも問題ありません。

重要度: High

コメント:

ElastiCacheはバージョンアップグレード時に既存のデータをできるだけ保持するように設計されていますが、マイナーバージョンアップによってサービスへの影響が出てしまう可能性があります。
本番環境などのサービス影響がクリティカルな環境においては自動バージョンアップを無効化し、バージョンを固定化しても問題ないです。その他の環境（検証・開発など）では自動バージョンアップの有効化を推奨します。

重要度: Medium

コメント:

重要度: Medium

コメント:

保管時の暗号化を有効化すると、保存されたデータが悪意のあるユーザーによってアクセスされるリスクを低減するメリットがあります。
ただし、バックアップオペレーションやノード同期オペレーション等のパフォーマンスに影響を与える可能性があります。機密情報や個人情報等は含まれず、永続的なバックアップも不要な場合は、性能評価した上で保管時の暗号化の必要性をご検討ください。
保管時の暗号化を有効にするには、レプリケーショングループを再作成する必要がある点に注意が必要です。

重要度: Medium

コメント:

重要度: Medium

コメント:

Redis AUTHを使用することで、ユーザーにトークン (パスワード) の入力を要求できるため、セキュリティが向上します。機密性の高いデータを Redis で保持する場合は設定を推奨します。
設定する際は、合わせて定期的なキーのローテーションを行うとよりセキュアになります。
セキュリティグループ等の設定により外部の脅威に対する防御ができている場合や、機密性の高いデータが含まれていない開発環境では無効化にしても問題ないです。