エンドポイントとPatch Managerの強化

安全なアクセスだけでは十分ではありません。インスタンス自体も強化され、パッチが適用された状態を維持する必要があります。AWS Systems Manager (SSM)には、フリート全体を最新の状態に保ち、正しく設定するためのPatch Managerなどの関連ツールがあります。未適用のパッチが侵害の主な原因となるため、大規模環境でのエンドポイント衛生はSCS-C02で繰り返し扱われるテーマです。

攻撃の多くは、パッチで修正できた既知の脆弱性を悪用して成功します。大規模なフリートで、どのインスタンスにどの更新が必要かを手作業で追跡するのは不可能です。パッチ管理を自動化すると、脆弱性の公開から修正までの期間を短縮し、すべてのワークロードにわたるリスクを直接低減できます。

Patch Managerは、EC2およびオンプレミスサーバー全体で、オペレーティングシステムとサポート対象アプリケーションへのパッチ適用を自動化します。インスタンスに不足しているパッチをスキャンし、コンプライアンスを報告し、承認済みの更新をスケジュールに従ってインストールします。LinuxとWindowsの両方で動作し、Systems Managerの他の機能とも統合されます。

パッチベースラインは、インストールを承認するパッチを定義します。多くの場合、重要度、分類、自動承認までの遅延期間によって指定します（たとえば、リリースから7日後に緊急パッチを承認します）。ベースラインにより、セキュリティと安定性のバランスを取り、検証済みの更新だけを機密性の高い環境に展開できます。

パッチ適用はメンテナンスウィンドウ中に実行されます。これは、SSMが更新をインストールしたりインスタンスを再起動したりできる、あらかじめスケジュールされた期間です。これにより、停止を伴う操作を安全な時間帯に限定でき、本番ワークロードに予測可能な形でパッチを適用できます。セキュリティ要件と可用性のバランスも取ることができます。

パッチグループでは、タグを使用して異なるインスタンス群に異なるベースラインを適用します。たとえば、「Critical-Servers」グループには遅延期間が長い保守的なベースラインを適用し、「Dev」グループには積極的にパッチを適用できます。タグによるグループ化によって、大規模で多様なフリート全体にパッチポリシーを効率的に適用できます。

Patch Managerは各インスタンスのパッチコンプライアンス状態を報告し、その結果はAWS ConfigとSecurity Hubに連携されます。どのシステムが最新でないかをフリート全体で把握できるため、パッチの状態を測定可能で監査できるセキュリティ指標として管理できます。これは試験でも追跡を求められる項目です。

パッチ以外にも、State Managerはインスタンスを望ましい設定状態に維持します。たとえば、ウイルス対策エージェントが実行されていることや、特定の設定が適用され続けていることを保証できます。設定を継続的に適用し直すことでドリフトを防ぎ、強化されたベースラインが時間の経過とともに損なわれるのを防止します。

SSMのInventoryは、フリート全体からインストール済みソフトウェア、ネットワーク設定などのメタデータを収集します。Patch ManagerおよびState Managerと組み合わせることで、何がどこで実行されているかをセキュリティチームが完全に把握できます。これは、未承認ソフトウェアの検出や、強化基準が満たされていることの確認に不可欠です。

パッチ適用が必要な脆弱性を見つけるため、Amazon Inspectorは既知のCVE（Common Vulnerabilities and Exposures）と照合して、EC2インスタンスとコンテナイメージを継続的にスキャンします。InspectorはSSM Agentを使用してインスタンスを評価し、優先度付けした検出結果をSecurity Hubに送信します。これにより、Inspectorがリスクを特定し、Patch Managerが修正するという一連の流れが完成します。

大規模なエンドポイント強化では、Patch Managerにパッチベースライン、メンテナンスウィンドウ、タグベースのパッチグループを組み合わせ、システムを最新に保ちます。コンプライアンスはConfigとSecurity Hubに報告されます。State Managerは設定ドリフトを防ぎ、Inventoryはフリート全体の可視性を提供します。これらを組み合わせることで、フリート全体を自動的に強化された状態に維持できます。

エンドポイントの強化について確認しましょう。

フリートを強化された状態に保つには、Patch Managerと、パッチベースライン（承認ルール）、メンテナンスウィンドウ（パッチを適用する時期）、タグベースのパッチグループ（適用するベースライン）を使用します。コンプライアンスレポートはAWS ConfigとSecurity Hubに連携されます。State Managerは設定ドリフトを防ぎ、Inventoryはインストール済みソフトウェアと設定をフリート全体で可視化します。