Security Hub の Network Scanning、ついに GovCloud (US) に登場！
おつかれさま、しぃちゃんだよ！
AWS What's New
aws.amazon.com
セキュリティの「たぶん大丈夫」を「実際に確認した」に変えてくれる機能が、GovCloud にも来たよ。
なにが発表されたの？
AWS の What's New で、AWS Security Hub の Network Scanning 機能が AWS GovCloud (US) で使えるようになったと発表されたよ。
なぜ重要なの？
Network Scanning は、インターネット側からリソースを調べて、実際に到達できるかを検出する機能だよ。セキュリティグループやルートテーブルのルールから「到達できるかもしれない」と推測するだけではないの。
これで何が変わるの？
Security Hub にはもともと、リソースがインターネットから到達可能になりうる設定を見つけるネットワーク到達性の finding があるよ。Network Scanning は、そのうえで「そうなる設定が実際に存在する」ことを確認する機能だよ。
深く潜ってみよう
検出する内容
- パブリック IP アドレス、仮想マシン、ロードバランサーの検出
- 到達可能なポートの特定
- そのポートの裏で動いているサービスの判定
出力と相関
- 到達可能なポートごとに、見つけたポートとサービスの証拠つきの Security Hub finding が出る
- Security Hub Exposures が、ほかの finding やリソースの設定と自動で突き合わせて、より広いリスクを判断する
有効化と料金
- 既存のお客様は、アカウント・リージョン単位か、設定ポリシーで組織全体に対して有効化できる
- 新規の Security Hub のお客様は、デフォルトでオン
- Security Hub Essentials に含まれ、Security Hub が使える商用リージョンと GovCloud (US) で追加料金なし
まとめ
- Network Scanning が GovCloud (US) で使える
- 設定からの推測ではなく、実際の到達可能性を確認できる
- 到達可能なポートごとに証拠つきの finding が出る
- Essentials に含まれ、追加料金なし
GovCloud でインターネット公開の状況を確かめたいセキュリティ担当の人に刺さる発表だよ！