Trusted Advisorのセキュリティチェック

AWS Trusted Advisorは、AWS のベストプラクティスに照らしてアカウントを検査し、優先順位付きの推奨事項を提示します。

対象は、コスト最適化、パフォーマンス、セキュリティ、耐障害性、サービスクォータの5カテゴリです。試験では、セキュリティチェックが主な対象になります。

Trusted Advisor のセキュリティチェックでは、次のような一般的な危険設定が明らかになります。

• 公開アクセスが許可された S3 バケット。
• 無制限のポート（SSH の 0.0.0.0/0 など）を持つセキュリティグループ。
• IAM の使用状況と、ルートアカウントで MFAが有効になっているかどうか。

Trusted Advisor で確認できる内容の深さは、サポートプランによって異なります。

• ベーシックプランとデベロッパープランでは、中核となるチェックセットを利用できます。
• ビジネスプランとエンタープライズプランでは、すべてのカテゴリにわたる完全なチェックセットを利用できます。

上位のサポート階層ほど、利用できるセキュリティチェックが増えます。

各チェックにはステータスが表示されます。緑は問題なし、黄色は要調査、赤は対応推奨を意味します。

詳細を確認すると、影響を受けるリソースと推奨される修正方法が表示されます。そのため Trusted Advisor は、詳細な調査ツールというより、迅速な状態確認ツールとして役立ちます。

チェックはスケジュールに従って更新されます。また、変更を加えた後に手動で更新することもできます。

Trusted Advisor は週次のメール概要を送信でき、EventBridgeと統合することもできます。そのため、ステータスの変更をきっかけに自動アラートやワークフローを実行できます。

重要度の高いセキュリティチェックでは、ルートユーザーで MFA が有効になっているかを確認します。

ルートアカウントではあらゆる操作が可能なため、MFA で保護し、使用頻度を低くする必要があります。ルート MFA が設定されていない場合、Trusted Advisor は赤色の、必ず修正すべき検出結果として報告します。

厳密にはセキュリティではありませんが、サービスクォータのチェックは耐障害性にとって重要です。

代替インスタンスを起動できないなど、インシデント中にクォータへ到達すると、障害が長引く可能性があります。Trusted Advisor はクォータに近づいたときに警告するため、早めに引き上げをリクエストできます。

どちらも設定ミスを明らかにしますが、役割は異なります。

• Trusted Advisorは、5つのカテゴリにわたるアカウントレベルの幅広いベストプラクティスチェックを提供します。
• Security Hubは、詳細なセキュリティ標準に基づくチェックを実行し、多数のセキュリティサービスから検出結果を集約します。

Security Hub は、より詳細でセキュリティに特化したツールです。

適切なサポートプランを利用すると、Trusted Advisor は組織ビューを提供し、すべてのアカウントにまたがるチェック結果を集約します。

中央チームは、どのアカウントに公開状態のセキュリティグループがあるか、またはルートユーザーの MFA が未設定かを一か所で確認できるため、大規模なガバナンスを支援できます。

Trusted Advisor には、アカウントに関連付けられた公開状態の IAM アクセスキーを、公開コードリポジトリからスキャンして検出するチェックが含まれています。

開発者が誤ってキーを公開リポジトリにコミットした場合、このチェックによって問題を検出し、攻撃者に悪用される前にキーを無効化してローテーションできます。これは、非常に一般的な侵害原因に対する有効な早期警告シグナルです。

ベストプラクティスに基づく迅速な健全性チェックには、Trusted Advisor を使用してください。特に、S3 バケットの公開、セキュリティグループの過度に広い許可、ルートユーザーの MFA 未設定といった典型的な設定ミスの確認に適しています。

詳細な分析ではなく、AWS がまとめた推奨事項の一覧をすばやく確認したい場合に、まず選ぶサービスです。

Trusted Advisor がベストプラクティスをチェックする方法を学びました。

• そのセキュリティカテゴリは、公開状態のバケット、過度に広いセキュリティグループ、ルートユーザーの MFA 未設定を検出します。
• チェックの範囲はサポートプランによって異なり、上位プランではすべてのチェックが利用可能になります。
• 組織ビューと EventBridge アラートを提供します。