「CloudSploit」を使ってAWSのセキュリティチェックを試してみた

こんにちは！
開発部の武内です。

弊社は様々なサービスを提供していますが、
バックエンドのほとんどをクラウドサービスで構成しています。

クラウドはオンプレミス以上にセキュリティ面に気を遣う必要がありますが、
サービスが増えたり大きくなるに比例してクラウド資産も増えるため、
セキュリティチェックのコストも膨れ上がっていきます。

コストを抑えるにはやはり技術的なアプローチで解決したい、ということで
AWSの自動セキュリティチェックサービスであるCloudSploitを試してみました。

CloudSploit

AWSアカウントに対して様々なセキュリティ・設定のチェック、
またそれらの継続的な監視を行うことができるWebサービスのようです。

開放されているセキュリティグループ
VPCの設定ミス
セキュリティのベストプラクティスの指摘
ルートアカウントのセキュリティ

等がチェックできるようですね。

アカウント作成

トップページの「Start your FREE account」からアカウント登録を行います。

メールアドレスとパスワードを入力し「Create Account」をクリックすると
認証メールが送られてくるので内容を確認し認証を行います。

AWSアカウントと接続する

認証後ログインするとダッシュボードが表示されます。

「Connect an AWS Account」をクリックして
「Account Connection Wizard」に進みます。

接続名を設定します。
ここでは接続名をMyAccountとし、グループはデフォルトとしました。

接続後のロールを設定します。
手動でも設定できるようですがここではCloudFormationとしました。

「External ID」は後ほど使うので控えておきます。
「Launch Stack」をクリックしてCloudFormationに進みます。

テンプレートは既に選択されているのでそのまま次に進みます。
中身を見てみると、接続用のAssumeRoleを作っています。

{
    "AWSTemplateFormatVersion" : "2010-09-09",

    "Description" : "CloudSploit security scans cross-account role",

    "Parameters" : {
        "ExternalId" : {
            "Type"                  : "String",
            "Description"           : "The external ID auto-generated from the CloudSploit dashboard. Copy this from the Add Account section.",
            "AllowedPattern"        : "[-a-z0-9]*",
            "ConstraintDescription" : "Must be lowercase or numbers, no spaces, dashes ok."
        }
    },

    "Resources" : {
        "CloudSploitRole" : {
            "Type": "AWS::IAM::Role",
            "Properties" : {
                "AssumeRolePolicyDocument": {
                    "Statement": [
                        {
                            "Effect": "Allow",
                            "Principal": {
                                "AWS": "arn:aws:iam::123456789012:root"
                            },
                            "Action": "sts:AssumeRole",
                            "Condition": {
                                "StringEquals": {
                                    "sts:ExternalId": { "Ref" : "ExternalId" }
                                }
                            }
                        }
                    ]
                },
                "ManagedPolicyArns": [
                    "arn:aws:iam::aws:policy/SecurityAudit"
                ]
            }
        }
    },

    "Outputs" : {
        "CloudSploitRoleArn" : {
            "Description"   : "The role ARN of the cross-account user. Copy this into CloudSploit.",
            "Value"         : {"Fn::GetAtt" : ["CloudSploitRole", "Arn"] }
        }
    }
}