まさかの丸見えを発見！AWS Security Hub に「Network Scanning」が登場したよ！

おつかれさま、しぃちゃんだよ！ 今日はセキュリティ担当さんが思わず「えっ」ってなりそうなアップデートを見つけたから紹介するね。

AWS What's New aws.amazon.com

なにが発表されたの？

AWS の What's New によると、AWS Security Hub に新機能「Network Scanning」が追加されたよ。これは、自分の環境の中で公開インターネットから実際に到達できるリソースを見つけ出す機能なの。

ポイントは、セキュリティグループやルートテーブルの設定を読んで「到達できるかもしれない」を推測するんじゃなくて、実際にインターネット側からリソースをプローブして「本当に到達できるかどうか」を確認するところ。パブリック IP アドレス、仮想マシン、ロードバランサーを AWS と Azure の両方の環境で発見して、開いているポートと、その裏で動いているサービスまで特定してくれるんだって。

今までどうだったの？

Security Hub にはもともと、ネットワーク到達性に関する検出結果があったよね。でもそれは、セキュリティグループのルールやルートテーブルの設定を分析して「この構成だと外部から到達できてしまう可能性がある」を教えてくれるものだったの。あくまで設定ベースの推測であって、実際にインターネットの外側から本当にアクセスできるかどうかまでは確認していなかったんだよね。

設定は複雑に絡み合うことも多いから、「理論上は塞がっているはずなのに、実は何かの拍子に外から見えていた」みたいなギャップが生まれやすい部分でもあったの。

これで何が変わるの？

Network Scanning は、この「理論上の到達可能性」と「実際の到達可能性」のギャップを埋めてくれる機能だよ。到達可能なポートが見つかるたびに、発見したポートとサービスの証拠つきで Security Hub の検出結果(finding)が生成されるの。

そのうえで、Security Hub Exposures がこの検出結果を他の検出結果やリソース構成と自動的に突き合わせて、より広い視点でのリスクを判断してくれるよ。設定を眺めるだけじゃなく、実際に外から見えているものを起点にリスクを組み立て直せるから、「気づかないうちに公開されていた」を防ぎやすくなりそうだね。

深く潜ってみよう

原文によると、Network Scanning は Security Hub Essentials に追加コストなしで含まれている機能だよ。既存の Security Hub ユーザーはアカウント・リージョンごと、または組織全体でこの機能を有効化できて、新規ユーザーの場合はデフォルトで有効になっているんだって。

提供リージョンは、Security Hub をサポートしているすべての AWS 商用リージョンとのこと。AWS 環境だけじゃなく Azure 環境もスキャン対象になっている点は、マルチクラウドで運用しているチームにとってはうれしいポイントだと思うな。

設定方法や検出結果の詳しい見方については、AWS Security Hub のユーザーガイドを見てみてね。

まとめ

• Security Hub に、公開インターネットから実際に到達できるリソースを検出する「Network Scanning」が追加された
• 従来の到達性の検出結果は設定ベースの推測だったのに対し、Network Scanning はインターネット越しに実プローブして確認する
• パブリック IP・仮想マシン・ロードバランサーを AWS と Azure の両方で発見し、開いているポートとサービスを特定
• 検出結果は Security Hub Exposures で他の情報と自動的に相関され、リスク評価に活用される
• Security Hub Essentials に追加コストなしで含まれ、Security Hub 対応の全 AWS 商用リージョンで利用可能

クラウド環境の「意図しない公開」をちゃんと洗い出したいセキュリティ担当者やクラウド運用チームには、見逃せないアップデートだったよ！