ホストセキュリティ保護の有効化 - Elastic Compute Service

Elastic Compute Service (ECS) インスタンスの作成時に無料のセキュリティ強化を選択し、Security Center を使用してフリート全体でコンプライアンスを検証し、徹底します。

セキュリティリスク

クリーンな OS を搭載した新規 ECS インスタンスはインターネットに公開されるため、未パッチの脆弱性、脆弱なパスワード、または設定ミスを悪用する自動スキャンや攻撃に直面します。これらの攻撃により、マイニングウイルスやランサムウェアなどのマルウェアがインストールされたり、データが盗まれたり、インスタンスがボットネットノードに変えられたりする可能性があります。

パブリックイメージから作成された ECS インスタンスには、デフォルトで Security Center (Free Edition) が含まれています。これを有効にすると、基本的なセキュリティ強化 (自動修復なしの脆弱性スキャン、緊急脆弱性スキャン、AccessKey ペアの漏洩検知、コンプライアンスチェック、異常なログインの検出) が利用可能になります。

ベストプラクティス

無料のセキュリティ強化の有効化

コンソール

インスタンス購入ページで、[無料セキュリティ強化] を選択します。このオプションは、パブリックイメージの場合、デフォルトで有効になっています。

API

SecurityEnhancementStrategy を Active に設定して RunInstances または CreateInstance を呼び出します。パブリックイメージでのみサポートされています。

Security Center エディションの購入

Security Center は、ホストとコンテナのセキュリティ向けに、Anti-virus Edition、Premium Edition、Enterprise Edition、Ultimate Edition などの有料エディションを提供しています。また、ランサムウェア対策、コンテナイメージセキュリティスキャン、クラウドハニーポット、Web 改ざん防止、アプリケーション保護、脅威分析と対応などのシナリオ固有の機能も提供します。Security Center を購入して、要件に合ったエディションと機能を選択してください。

コンプライアンス

無料のセキュリティ強化が有効になっていることの確認

ホスト資産での確認

Security Center コンソールに移動します。
左側メニューで、[資産] > [ホスト] を選択します。
すべての ECS インスタンスのクライアントステータスをフィルターして表示します。
- ：クライアントはオンラインです。
- ：クライアントがインストールされていないか、オフラインです。オフラインのクライアントは、インスタンスが停止している、クライアントプロセスが異常である、またはネットワークに問題があるなどの理由で、Security Center と通信できません。

CSPM スキャンによる確認

Security Center コンソールに移動します。
左側メニューで、[リスクガバナンス] > [CSPM] を選択します。[クラウドサービス設定リスク] タブをクリックします。[Security Center エージェントのステータスを確認] を探し、[Actions] 列の操作をクリックします。

ステータスが「失敗」の場合、一部のインスタンスで無料のセキュリティ強化が有効になっていません。詳細については、詳細をクリックしてください。

無料のセキュリティ強化が有効でないインスタンス作成のブロック

組織またはアカウントレベルで RAM ポリシーを使用して、無料のセキュリティ強化が有効になっていないインスタンスの作成をブロックします。

エンタープライズユーザーの場合：
1. Resource Directory コンソールにログインします。左側メニューで [コントロールポリシー] をクリックし、次の JSON コンテンツでカスタムポリシーを作成します。
  
  このポリシーは、セキュリティ強化が無効になっている場合のインスタンス作成を拒否します。
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Deny",
      "Action": [
        "ecs:RunInstances",
        "ecs:CreateInstance"
      ],
      "Resource": [
        "acs:ecs:*:*:instance/*"
      ],
      "Condition": {
        "StringEquals": {
          "ecs:SecurityEnhancementStrategy": "Deactive"
        }
      }
    }
  ]
}
```
2. Resource Directory で、ポリシーをターゲットノードにアタッチします。ポリシーは、そのノード配下のすべてのアカウントによるインスタンス作成をブロックします。
非エンタープライズユーザーの場合：
1. RAM コンソールにログインします。左側メニューで 権限付与ポリシー をクリックし、上記と同じ JSON コンテンツでカスタムポリシーを作成します。
2. RAM ユーザー、RAM ユーザーグループ、または RAM ロールにポリシーをアタッチします。

保護されていないインスタンスへの Security Center エージェントのインストール

ユースケース 1：インスタンスにネットワークアクセスがあり、Cloud Assistant エージェントがインストールされている場合

Security Center コンソールにログインします。左側メニューで、システム設定 > [機能設定] を選択します。
クライアント タブで [エージェント未インストール] をクリックし、対象のインスタンスを選択します。
インストールボタンをクリックします。システムは Cloud Assistant を通じて Security Center エージェントをインストールします。
[資産] > [ホスト] に移動し、クライアントステータスが [オンライン] であることを確認します。

ユースケース 2：インスタンスにネットワークの問題があるか、Cloud Assistant エージェントがインストールされていない場合 インスタンスに Security Center エージェントを手動でインストールします。

Security Center コンソールにログインします。左側メニューで システム設定 > [機能設定] を選択します。クライアント タブで [インストールコマンド] をクリックします。
インスタンスの OS (CentOS、Ubuntu、Windows など) とネットワークタイプ (VPC 内部ネットワークまたはインターネット) に基づいて、対応するインストールコマンドをコピーします。
ECS インスタンスにログインし、コピーしたインストールコマンドを実行します。
インストール後、[資産] > [ホスト] に移動し、クライアントステータスが [オンライン] であることを確認します。