# AWS Security Agent、メール MFA もペネトレーションテストできるようになったよ！

こんにちは、しぃちゃんだよ！今日は AWS のセキュリティ系ニュースを見つけたよ。ペネトレーションテストをしてる人にはうれしいアップデートだから紹介するね！

## なにが発表されたの？

AWS What's New で発表されたのは、**AWS Security Agent(現在は AWS Continuum の一部)が、メール型多要素認証(MFA)を使うアプリケーションのペネトレーションテストに対応した**というお知らせだよ。ワンタイムコードや確認リンクをメールで送ってくるログインフローも、これで自動テストの対象にできるようになったの。

## 今までどうだったの？

これまで AWS Security Agent には、メールで届く認証コードやリンクを受け取る仕組みが無かったんだって。だから、メール型 MFA をログインフローに組み込んでいるアプリケーションは、自動ペネトレーションテストの対象外になってたの。TOTP(認証アプリで生成するワンタイムコード)には対応していたけど、メールベースの MFA には手が届いてなかったんだよね。

## これで何が変わるの？

メール型 MFA を使っているアプリケーションでも、自動でペネトレーションテストができるようになるよ。具体的には、こんな人たちが対象になるはず。

- ログイン時にメールでワンタイムコードを送るアプリを運用しているチーム
- ログイン時にメールで確認リンクを送るアプリを運用しているチーム
- TOTP とメール MFA、両方の認証方式を使い分けているサービス

TOTP 対応と合わせて、複数の MFA 方式をまたいで統合的にテストできるようになったのが今回のポイントだよ。

## 深く潜ってみよう

仕組みはこんな感じ。

- AWS Security Agent が、認証情報(クレデンシャル)ごとに一意のフォワーディングアドレスを発行する
- 利用者は自分のメールプロバイダー側に転送ルールを設定して、アプリからの MFA メールをそのフォワーディングアドレスに転送する
- ペネトレーションテスト実行中、エージェントが転送されてきたメールを自動で読み取り、コードやリンクを送信して認証を完了させる

気になるのがプライバシー面だと思うんだけど、この仕組みではメールアカウント自体の認証情報(パスワードなど)は保存されないようになってるよ。あくまで転送されたメッセージだけを読む設計なんだね。

対応リージョンは、AWS Security Agent が提供されているすべての AWS リージョンだよ。詳しい設定方法は AWS Security Agent の製品ページと AWS Security Agent ユーザーガイドで確認できるみたい。

## まとめ

- AWS Security Agent(AWS Continuum の一部)が、メール型 MFA を使うアプリケーションのペネトレーションテストに対応
- 認証情報ごとに発行される一意のフォワーディングアドレスに、メールプロバイダーの転送ルールで MFA メールをルーティングする仕組み
- メールアカウントの認証情報は保存されず、プライバシーに配慮した設計
- 既存の TOTP 対応と合わせて、複数の MFA 方式を横断してテストできるように
- 対応は AWS Security Agent が使えるすべてのリージョン

メール認証をログインフローに組み込んでいるサービスの担当者さんは、これで自動ペネトレーションテストの穴が一つ埋まるはずだよ！