Bastionホストがリスクを高める理由

プライベートネットワーク内のサーバーを管理するため、従来は踏み台ホスト（ジャンプボックスとも呼ばれます）が使われていました。これはインターネットに公開された強化済みのインスタンスで、まず SSH で接続し、そこから内部マシンへ移動します。一般的な方式ではありますが、攻撃対象領域をいくつかの方法で広げます。SCS-C02 試験では、こうした問題を認識して排除できることが求められます。

踏み台ホストはパブリックサブネットに配置され、インターネットまたは企業の IP レンジに対してポート（通常、SSH の 22 または RDP の 3389）を開放します。管理者はそこに接続してから、プライベートインスタンスへアクセスします。環境への唯一の防御された入口であるため、重要であると同時に格好の標的にもなります。

最大のリスクはインバウンドポートの開放です。インターネットから到達可能な SSH または RDP ポートは、攻撃者によって常にスキャンや総当たり攻撃を受けます。鍵ベースの認証を使用していても、公開されたポートは攻撃を招きます。踏み台ホストの設定ミスや未適用の脆弱性が 1 つあるだけで、攻撃者にネットワーク全体への足掛かりを与える可能性があります。

踏み台ホストへのアクセスは通常、管理者に配布された長期間有効な SSH キーペアに依存します。これらのキーはコピーされたり、紛失したり、退職者のノートパソコンに残されたりする可能性があります。フリート全体でのローテーションは困難で、どのキーがどのセッションを開始したかを明確に記録できないことも多く、説明責任が損なわれます。

踏み台ホストを経由して誰が何をしたかを追跡するのは困難です。標準の SSH では、下流ホストで実行されたコマンドを集中管理して記録する機能がほとんどありません。インシデントの調査ではホストログをつなぎ合わせる必要があり、踏み台ホストが侵害されると、攻撃者が自分の痕跡を消去できる可能性もあります。これは監査担当者が問題視する、まさに可視性の欠落です。

踏み台ホスト自体が、継続的にパッチを適用し、強化する必要のあるインスタンスです。更新が遅れると、最も弱いリンクになります。高可用性で常に安全なジャンプボックスを維持することは、コストとリスクを増やす継続的な運用負担であり、ビジネス価値を生みません。

すべての管理トラフィックが踏み台ホストを経由するため、踏み台ホストは単一障害点であると同時に価値の高い標的です。停止すると管理者はアクセスできなくなり、侵害されると攻撃者の攻撃拠点になります。リスクを 1 つの公開ホストに集中させるアーキテクチャは、試験で避けることが求められるものです。

AWS の Systems Manager (SSM) Session Managerを使用すれば、踏み台ホストは完全に不要になります。SSM サービスを介してインスタンスへのシェルアクセスを提供し、インバウンドポート、パブリック IP、SSH キーを一切必要としません。アクセスは IAM で制御され、すべてのセッションが記録されるため、踏み台ホスト方式の弱点を一度に解消できます。

SSM が機能するのは、インスタンス上でSSM Agentが実行され、SSM サービスへのアウトバウンド接続を開始するためです。インバウンド接続は一切開放しません。セキュリティグループですべてのインバウンドトラフィックを拒否しても、管理は引き続き機能します。インバウンドではなくアウトバウンドを使用するこの発想の転換が、踏み台ホストを不要にする重要なポイントです。

試験で、SSH/RDP ポートの開放、キーペアの配布、またはジャンプボックスに関するシナリオが示された場合、ほぼ必ずより良い答えがあります。踏み台ホストをSession Managerに置き換えることです。これにより攻撃対象領域が縮小し、アクセス制御が IAM に一元化され、完全な監査証跡が生成されます。これは AWS が推奨する安全な最小権限設計です。

踏み台ホストはインバウンドポートを公開し、長期間有効な SSH キーに依存し、監査が不十分で、常にパッチを適用する必要があります。そのため、リスクが集中した魅力的な標的になります。推奨される代替手段は SSM Session Managerです。IAM で制御され、完全に記録されたシェルアクセスを、開放ポート、パブリック IP、キーを一切使わずに提供します。

踏み台ホストが危険な理由を確認します。

踏み台ホストはインバウンドの SSH/RDP ポートを開放し、長期間有効なSSH キーに依存し、監査が不十分で、継続的なパッチ適用を必要とします。その結果、リスクが 1 つの公開された標的に集中します。SSM Session Managerは、アウトバウンドの Agent 接続を介した IAM 制御および完全に記録されたアクセスに置き換え、開放ポート、パブリック IP、キーを必要としません。