翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
NCSC の「Cyber Assesment Framework」に関する運用上のベストプラクティス
コンフォーマンスパックは、マネージドルールやカスタム AWS Config ルールと AWS Config 修復アクションを使用して、セキュリティ、運用、コスト最適化のガバナンスチェックを作成できるように設計された汎用コンプライアンスフレームワークを提供します。サンプルテンプレートとしてのコンフォーマンスパックは、特定のガバナンスまたはコンプライアンス基準を準拠するようには設計されていません。お客様は、本サービスの利用が該当する法的要件および規制要件を満たしているかどうかについて、お客様自身で評価する責任を負います。
以下に、英国の国家サイバーセキュリティセンター (NCSC) の「Cyber Assessment Framework (CAF)」によるコントロールと、AWS マネージド Config ルール間のマッピングの例を示します。各 Config ルールが特定の AWS リソースに適用され、1 つ以上の 英国の国家サイバーセキュリティセンターの「CAF」によるコントロールに関連付けられます。英国のNCSC の「CAF」によるコントロールを、複数の Config ルールに関連付けることができます。これらのマッピングに関する詳細およびガイダンスについては、以下の表を参照してください。
このコンフォーマンスパックのサンプルテンプレートには、英国のNCSC の「CAF (National Cyber Security Centre | NCSC CAF
| コントロール ID | コントロールの概要 | AWS Config ルール | ガイダンス |
|---|---|---|---|
| A3.a アセットマネジメント | 重要な機能の運用に必要なネットワークや情報システムの提供、維持、サポートに必要なすべてが決定され、理解されている。これにはデータ、人、システム、それを支えるインフラストラクチャ (電力や冷却など) が含まれます。 | このルールにより、Amazon Virtual Private Cloud (Amazon VPC) のネットワークアクセスコントロールリストが使用されているかどうかを確認します。未使用のネットワークアクセスコントロールリストをモニタリングすることで、環境の正確なインベントリの使用と管理を行うことができます。 | |
| A3.a アセットマネジメント | 重要な機能の運用に必要なネットワークや情報システムの提供、維持、サポートに必要なすべてが決定され、理解されている。これにはデータ、人、システム、それを支えるインフラストラクチャ (電力や冷却など) が含まれます。 | AWS Systems Manager を使用して Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを管理することで、組織内のソフトウェアプラットフォームやアプリケーションのインベントリを作成できます。AWS Systems Manager を使用して、詳細なシステム設定、オペレーティングシステムのパッチレベル、サービス名とタイプ、ソフトウェアのインストール、アプリケーション名、パブリッシャーとバージョン、および環境に関するその他の詳細を提供します。 | |
| A3.a アセットマネジメント | 重要な機能の運用に必要なネットワークや情報システムの提供、維持、サポートに必要なすべてが決定され、理解されている。これにはデータ、人、システム、それを支えるインフラストラクチャ (電力や冷却など) が含まれます。 | このルールを有効にすると、Amazon EC2 インスタンスが、組織の基準に従って許可された日数を超えて停止しているかどうかを確認することで、Amazon Elastic Compute Cloud (Amazon EC2) インスタンスのベースラインの設定を行うことができます。 | |
| A3.a アセットマネジメント | 重要な機能の運用に必要なネットワークや情報システムの提供、維持、サポートに必要なすべてが決定され、理解されている。これにはデータ、人、システム、それを支えるインフラストラクチャ (電力や冷却など) が含まれます。 | このルールにより、Amazon Elastic Compute Cloud (Amazon EC2) インスタンスにアタッチされた Amazon Elastic Block Store ボリュームが、インスタンスの終了時に削除対象としてマークされるようになります。Amazon EBS ボリュームが、アタッチされているインスタンスの終了時に削除されていない場合、最小限の機能の概念に反する可能性があります。 | |
| A3.a アセットマネジメント | 重要な機能の運用に必要なネットワークや情報システムの提供、維持、サポートに必要なすべてが決定され、理解されている。これにはデータ、人、システム、それを支えるインフラストラクチャ (電力や冷却など) が含まれます。 | このルールにより、Amazon Virtual Private Cloud (Amazon VPC) に割り当てられた Elastic IP が、Amazon Elastic Compute Cloud (Amazon EC2) インスタンスまたは使用中の Elastic Network Interface にアタッチされるようになります。このルールは、環境内の未使用の EIP をモニタリングするのに役立ちます。 | |
| B2.a Identity Verification, Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | ID と認証情報は、組織の IAM パスワードポリシーに基づいて発行、管理、検証されます。これらの ID と認証情報は、NIST SP 800-63 および AWS の基本的なセキュリティのベストプラクティス標準で規定されているパスワード強度の要件を満たしています。このルールでは、必要に応じて RequireUppercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireLowercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireSymbols (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireNumbers (AWS の基本的なセキュリティのベストプラクティスの値: true)、MinimumPasswordLength (AWS の基本的なセキュリティのベストプラクティスの値: 14)、PasswordReusePrevention (AWS の基本的なセキュリティのベストプラクティスの値: 24)、および MaxPasswordAge (AWS の基本的なセキュリティのベストプラクティスの値: 90) を、IAM パスワードポリシーに設定できます。実際の値には、組織のポリシーを反映する必要があります。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | AWS Identity and Access Management (IAM) では、IAM グループに少なくとも 1 つのユーザーが存在するようにして、アクセス許可と認可に最小特権と職務の分離の原則を組み込むことができます。関連するアクセス許可や職務に基づいてユーザーをグループに配置することは、最小特権を組み込む方法の 1 つです。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「*」に対して「Action」:「*」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | AWS Identity and Access Management (IAM) は、ユーザーが少なくとも 1 つのグループのメンバーであることを確認して、アクセス許可と認可をコントロールします。タスク完了のために必要以上の権限をユーザーに許可することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | AWS Identity and Access Management (IAM) では、指定した期間に使用されていない IAM パスワードとアクセスキーをチェックすることにより、アクセスの許可と認証を行うことができます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、maxCredentialUsageAge (Config デフォルト: 90) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのユーザーの多要素認証 (MFA) が有効になります。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らします。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | コンソールのパスワードを所有するすべての AWS Identity and Access Management (IAM) ユーザーに対して MFA が有効になっているかを確認することにより、AWS クラウド内のリソースへのアクセスを管理します。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らし、権限のないユーザーが機密データにアクセスできないようにすることができます。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | ルートユーザーに対してハードウェア MFA を有効にすることで、AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウント のユーザーです。MFA は、サインイン認証情報に更なる保護手段を追加します。ルートユーザーに MFA を要求することにより、AWS アカウント が侵害されるインシデントを減らすことができます。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | ルートユーザーに対して MFA を有効にすることにより、AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウント のユーザーです。MFA は、サインイン認証情報に更なる保護手段を追加します。ルートユーザーに MFA を要求することにより、AWS アカウント が侵害されるインシデントを減らすことができます。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーが割り当てられていないことを確認することにより、システムとアセットへのアクセスをコントロールできます。root アクセスキーが削除されていることを確認します。代わりにロールベースの AWS アカウント を作成して使用し、最小限の機能の原則を組み込みます。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | このルールにより、AWS Identity and Access Management (IAM) ポリシーがグループまたはロールのみにアタッチされ、システムとアセットへのアクセスがコントロールされるようになります。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | Amazon OpenSearch Service ドメインで、きめ細かいアクセスコントロールが有効になっていることを確認します。きめ細かいアクセスコントロールによって、Amazon OpenSearch Service ドメインへの最小特権アクセスを実現するための強化された認可メカニズムが得られます。これにより、ドメインへのロールベースのアクセスコントロール、インデックス、ドキュメント、およびフィールドレベルのセキュリティ、OpenSearch Service ダッシュボードのマルチテナンシーのサポート、OpenSearch Service と Kibana の HTTP 基本認証が可能になります。 | |
| B2.a Identity Verification,Authentication and Authorisation | 重要な機能をサポートするネットワークや情報システムへのアクセスを強固に検証し、認証し、権限を与えます。 | Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。 | |
| B2.b Device Management | 本質的な機能を支えるネットワーク、情報システム、データにアクセスするために使用されるデバイスを十分に理解し、信頼できます。 | AWS Systems Manager を使用して Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを管理することで、組織内のソフトウェアプラットフォームやアプリケーションのインベントリを作成できます。AWS Systems Manager を使用して、詳細なシステム設定、オペレーティングシステムのパッチレベル、サービス名とタイプ、ソフトウェアのインストール、アプリケーション名、パブリッシャーとバージョン、および環境に関するその他の詳細を提供します。 | |
| B2.b Device Management | 本質的な機能を支えるネットワーク、情報システム、データにアクセスするために使用されるデバイスを十分に理解し、信頼できます。 | AWS Security Hub は、権限のない人員、接続、デバイス、ソフトウェアのモニタリングに役立ちます。AWSSecurity Hub によって、複数の AWS のサービスからのセキュリティアラート (検出結果) が集計、整理、優先順位付けされます。対象のサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager、AWS パートナーソリューションなどがあります。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | AWS Identity and Access Management (IAM) では、指定した期間に使用されていない IAM パスワードとアクセスキーをチェックすることにより、アクセスの許可と認証を行うことができます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、maxCredentialUsageAge (Config デフォルト: 90) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | 最小特権の原則の実装を支援するために、Amazon CodeBuild プロジェクト環境で特権モードが有効になっていないことを確認してください。Docker API およびコンテナの基盤となるハードウェアへの意図しないアクセスを防ぐため、この設定を無効にする必要があります。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | EC2 インスタンスプロファイルによって、IAM ロールが EC2 インスタンスに渡されます。インスタンスプロファイルをインスタンスにアタッチすることで、最小特権とアクセス許可を管理できます。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | 最小特権の原則の実装を支援するため、Amazon Elastic Container Service (Amazon ECS) タスク定義では拡張された特権を有効にしないでください。このパラメータが true のとき、コンテナには、ホストコンテナインスタンスに対する昇格されたアクセス権限 (ルートユーザーと同様) が付与されます。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | Amazon Elastic Container Service (Amazon ECS) コンテナへの読み取り専用アクセスを有効にすると、最小特権のプリンシパルを遵守するのに役立ちます。このオプションにより、明示的な読み取り/書き込み権限がない場合にはコンテナインスタンスのファイルシステムを変更できないため、攻撃ベクトルを減らすことができます。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | 最小特権の原則の実装を支援するため、ルートユーザー以外のあるユーザーに Amazon Elastic Container Service (Amazon ECS) タスク定義へのアクセスが指定されていることを確認します。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | 最小特権の原則の実装を支援するため、Amazon Elastic File System (Amazon EFS) でユーザー適用が有効になっていることを確認します。有効になっていると、Amazon EFS では、NFS クライアントのユーザー ID およびグループ ID が、アクセスポイントですべてのファイルシステムオペレーションに対して設定されている ID に置き換えられ、この適用されたユーザー ID へのアクセスのみが許可されます。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | Amazon EMR クラスターで Kerberos を有効にすることで、最小特権と職務の分離の原則に基づいてアクセス許可と認可を管理して組み込むことができます。Kerberos では、認証を必要とするサービスとユーザーをプリンシパルと呼びます。プリンシパルは Kerberos 領域内に存在します。この領域内では、Kerberos サーバーを KDC (キー配布センター) と呼びます。これは、プリンシパルが認証を行うための手段を提供するものです。KDC は、チケットを発行して認証を行います。KDC は、領域内にあるプリンシパルのデータベースに加え、プリンシパルのパスワードや、各プリンシパルに関するその他の管理情報を保持しています。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | AWS Identity and Access Management (IAM) は、アクセス許可や認可に最小特権と職務分離の原則を組み込むことにより、すべての AWS Key Management Service のキーでブロックされたアクションを含むポリシーを制限できます。タスク完了のために必要以上の特権を持つことは、最小特権と職務分離の原則に反する可能性があります。このルールにより、blockedActionsPatterns パラメータの設定が可能になります。(AWS の基本的なセキュリティのベストプラクティスの値: kms:Decrypt、kms:ReEncryptFrom)。実際の値には、組織のポリシーを反映する必要があります。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | AWS Identity and Access Management (IAM) では、IAM グループに少なくとも 1 つのユーザーが存在するようにして、アクセス許可と認可に最小特権と職務の分離の原則を組み込むことができます。関連するアクセス許可や職務に基づいてユーザーをグループに配置することは、最小特権を組み込む方法の 1 つです。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「*」に対して「Action」:「*」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | IAM アクションが、必要なアクションのみに制限されていることを確認します。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | AWS Identity and Access Management (IAM) は、ユーザーが少なくとも 1 つのグループのメンバーであることを確認して、アクセス許可と認可をコントロールします。タスク完了のために必要以上の権限をユーザーに許可することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | AWS Secrets Manager に未使用の認証情報が存在する場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、unusedForDays (Config デフォルト: 90) の値を設定できます。実際の値には、組織のポリシーを反映する必要があります。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | AWS クラウド内のリソースへのアクセスを制限するには、このルールを有効にします。このルールにより、すべてのユーザーの多要素認証 (MFA) が有効になります。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らします。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | コンソールのパスワードを所有するすべての AWS Identity and Access Management (IAM) ユーザーに対して MFA が有効になっているかを確認することにより、AWS クラウド内のリソースへのアクセスを管理します。MFA は、サインイン認証情報に加えて更なる保護手段を追加します。ユーザーに MFA を要求することで、アカウントが侵害されるインシデントを減らし、権限のないユーザーが機密データにアクセスできないようにすることができます。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | ルートユーザーに対してハードウェア MFA を有効にすることで、AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウント のユーザーです。MFA は、サインイン認証情報に更なる保護手段を追加します。ルートユーザーに MFA を要求することにより、AWS アカウント が侵害されるインシデントを減らすことができます。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | ルートユーザーに対して MFA を有効にすることにより、AWS クラウド内のリソースへのアクセスを管理します。ルートユーザーは、最も権限のある AWS アカウント のユーザーです。MFA は、サインイン認証情報に更なる保護手段を追加します。ルートユーザーに MFA を要求することにより、AWS アカウント が侵害されるインシデントを減らすことができます。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | ルートユーザーに AWS Identity and Access Management (IAM) ロールにアタッチされたアクセスキーが割り当てられていないことを確認することにより、システムとアセットへのアクセスをコントロールできます。root アクセスキーが削除されていることを確認します。代わりにロールベースの AWS アカウント を作成して使用し、最小限の機能の原則を組み込みます。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | Amazon GuardDuty では、調査結果が重要度 (低、中、高) で分類されるため、インシデントによる影響を把握することができます。これらの分類を使用して、修復戦略と優先度を決定することができます。このルールでは、組織のポリシーで要求される場合に、アーカイブされていない結果に対して daysLowSev (Config デフォルト: 30)、daysMediumSev (Config デフォルト: 7)、daysHighSev (Config デフォルト: 1) を必要に応じて設定できます。 | |
| B2.c Privileged User Management | 必須機能をサポートするネットワークや、情報システムへの特権的なユーザーアクセスを綿密に管理することができます。 | AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | AWS Identity and Access Management (IAM) では、IAM グループに少なくとも 1 つのユーザーが存在するようにして、アクセス許可と認可に最小特権と職務の分離の原則を組み込むことができます。関連するアクセス許可や職務に基づいてユーザーをグループに配置することは、最小特権を組み込む方法の 1 つです。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「*」に対して「Action」:「*」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | AWS Identity and Access Management (IAM) は、ユーザーが少なくとも 1 つのグループのメンバーであることを確認して、アクセス許可と認可をコントロールします。タスク完了のために必要以上の権限をユーザーに許可することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | AWS Identity and Access Management (IAM) では、指定した期間に使用されていない IAM パスワードとアクセスキーをチェックすることにより、アクセスの許可と認証を行うことができます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、maxCredentialUsageAge (Config デフォルト: 90) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | Simple Storage Service (Amazon S3) のデータイベントを収集することで、異常性の高いアクティビティを検出できます。詳細には、Amazon S3 バケットにアクセスした AWS アカウント の情報、IP アドレス、イベント発生時刻が含まれます。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | 保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、clusterDbEncrypted (Config デフォルト: TRUE) と loggingEnabled (Config デフォルト:TRUE) の値が設定されている必要があります。実際の値には、組織のポリシーを反映する必要があります。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。 | |
| 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | Amazon GuardDuty では、調査結果が重要度 (低、中、高) で分類されるため、インシデントによる影響を把握することができます。これらの分類を使用して、修復戦略と優先度を決定することができます。このルールでは、組織のポリシーで要求される場合に、アーカイブされていない結果に対して daysLowSev (Config デフォルト: 30)、daysMediumSev (Config デフォルト: 7)、daysHighSev (Config デフォルト: 1) を必要に応じて設定できます。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | Amazon CloudWatch を使用して、イベントのアクティビティログを一元的に収集および管理します。AWS CloudTrail データを含めることで、お客様の AWS アカウント 内の API コールのアクティビティの詳細を提供します。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | ID と認証情報は、組織の IAM パスワードポリシーに基づいて発行、管理、検証されます。これらの ID と認証情報は、NIST SP 800-63 および AWS の基本的なセキュリティのベストプラクティス標準で規定されているパスワード強度の要件を満たしています。このルールでは、必要に応じて RequireUppercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireLowercaseCharacters (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireSymbols (AWS の基本的なセキュリティのベストプラクティスの値: true)、RequireNumbers (AWS の基本的なセキュリティのベストプラクティスの値: true)、MinimumPasswordLength (AWS の基本的なセキュリティのベストプラクティスの値: 14)、PasswordReusePrevention (AWS の基本的なセキュリティのベストプラクティスの値: 24)、および MaxPasswordAge (AWS の基本的なセキュリティのベストプラクティスの値: 90) を、IAM パスワードポリシーに設定できます。実際の値には、組織のポリシーを反映する必要があります。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | Amazon CloudWatch アラームは、メトリクスが指定された評価期間数のしきい値を超えたときにアラームで警告します。アラームは、複数の期間にわたる閾値に対するメトリックまたはメートルの値に基づいて、1つまたは複数のアクションを実行します。このルールには、alarmActionRequired (Config デフォルト: True)、insufficientDataActionRequired (Config デフォルト: True)、okActionRequired (Config デフォルト: False) の値が必要です。実際の値には、環境に合わせたアラームのアクションを反映する必要があります。 | |
| B2.d Identity and Access Management (IdAM) | 必須機能をサポートするネットワークや情報システムにおいて、ID やアクセス制御の適切な管理や保守を保証します。 | AWS Security Hub は、権限のない人員、接続、デバイス、ソフトウェアのモニタリングに役立ちます。AWSSecurity Hub によって、複数の AWS のサービスからのセキュリティアラート (検出結果) が集計、整理、優先順位付けされます。対象のサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager、AWS パートナーソリューションなどがあります。 | |
| B3.a Understanding Data | 必須機能のオペレーションに重要なデータ、その保存場所、移動先、利用不能または不正アクセス、修正、削除が必須機能にどのような悪影響を及ぼすかを十分に理解していること。 これは本質的な機能の運用に重要なデータを保存またはアクセスするサードパーティーについても適用されます。 | このルールにより、Amazon Elastic Compute Cloud (Amazon EC2) インスタンスにアタッチされた Amazon Elastic Block Store ボリュームが、インスタンスの終了時に削除対象としてマークされるようになります。Amazon EBS ボリュームが、アタッチされているインスタンスの終了時に削除されていない場合、最小限の機能の概念に反する可能性があります。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | X509 証明書が AWS ACM によって発行されるようにすることにより、ネットワークの整合性を保護します。これらの証明書は有効で、期限切れではない必要があります。このルールには、daysToExpiration の値が必要です (AWS の基本的なセキュリティのベストプラクティスの値: 90)。実際の値には、組織のポリシーを反映する必要があります。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Elastic Load Balancing (ELB) が、http ヘッダーを削除するように設定されていることを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | 転送中のデータを保護するため、暗号化されていない HTTP リクエストを Application Load Balancer が HTTPS に自動的にリダイレクトするようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | 機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。AWS Certificate Manager を使用して、AWS のサービスと内部リソースによってパブリックおよびプライベートの SSL/TLS 証明書を管理、プロビジョニング、およびデプロイします。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Elastic Load Balancing (ELB) が、SSL または HTTPS リスナーを使用して設定されるようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon Redshift クラスターで、SQL クライアントに接続するために TLS/SSL 暗号化が必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | 転送中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで、Secure Sockets Layer (SSL) を使用するためのリクエストが必要かどうかを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | ウェブアプリケーションを保護するため、Elastic Load Balancing (ELB) で AWS WAF が有効になっていることを確認します。WAF は、一般的なウェブの脆弱性からウェブアプリケーションや API を保護するのに役立ちます。これらのウェブの脆弱性は、お客様の環境で可用性に影響を与えたり、セキュリティを侵害したり、リソースを過剰に消費したりする可能性があります。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | DMS レプリケーションインスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。DMS レプリケーションインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon Elastic Compute Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。Amazon EC2 インスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon OpenSearch Service (OpenSearch Service) のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイスや VPN 接続なしで、OpenSearch Service と他のサービス間に Amazon VPC 内で安全な通信ができるようになります。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon EMR クラスターマスターノードにパブリックにアクセスできないようにすることにより、AWS クラウドへのアクセスを管理します。Amazon EMR クラスターのマスターノードには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスの管理ができます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon Virtual Private Cloud (Amazon VPC) 内に Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを展開し、Amazon VPC 内でのインスタンスとサービス間の安全な通信を、インターネットゲートウェイ、NAT デバイス、VPN 接続を必要とせず可能にします。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。Amazon EC2 インスタンスを Amazon VPC に割り当て、アクセスを適切に管理します。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | インターネットゲートウェイが、認可された Amazon Virtual Private Cloud (Amazon VPC) にのみアタッチされるようにして、AWS クラウドのリソースへのアクセスを管理します。インターネットゲートウェイは、Amazon VPC との間の双方向インターネットアクセスを可能にしますが、これにより Amazon VPC リソースへの不正アクセスが発生する可能性があります。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | AWS Lambda 関数を Amazon Virtual Private Cloud (Amazon VPC) 内にデプロイして、関数と Amazon VPC 内の他のサービスとの間の安全な通信を実現します。この設定では、インターネットゲートウェイ、NAT デバイス、VPN 接続を使用する必要はありません。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。アクセスを適切に管理するため、AWS Lambda 関数を VPC に割り当てる必要があります。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon Redshift クラスターが公開されないようにすることで、AWS クラウドのリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon SageMaker ノートブックがインターネットからの直接アクセスを許可しないことにより、AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスを管理できます。デフォルトのセキュリティグループ上のすべてのトラフィックを制限すると、AWS リソースへのリモートアクセスを制限することができます。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。信頼できるソースへのポートに対するアクセスを制限しないと、システムの可用性、完全性、機密性に対する攻撃を招く可能性があります。インターネットからのセキュリティグループ内のリソースへのアクセスを制限することで (0.0.0.0/0)、内部システムへのリモートアクセスをコントロールできます。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling グループの Elastic Load Balancing (ELB) ヘルスチェックは、十分な容量と可用性の維持をサポートします。ロードバランサーは、定期的に ping の送信、接続の試行、リクエストの送信を実行し、Auto scaling グループ内の Amazon EC2 インスタンスのヘルスステータスをテストします。インスタンスによってレポートが返されない場合、新しい Amazon EC2 インスタンスにトラフィックが送信されます。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Elastic Load Balancing (ELB) のクロスゾーン負荷分散を有効にして、十分な容量と可用性を維持します。クロスゾーン負荷分散により、有効な各アベイラビリティーゾーンで同じインスタンス数を維持する必要性が軽減されます。また、1 つ以上のインスタンスの消失を処理するアプリケーションの能力が向上します。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | このルールにより、Elastic Load Balancing で削除保護が有効になっているかどうかを確認します。この機能を使用すると、ロードバランサーが誤って削除されたり悪意を持って削除されることで、アプリケーションの可用性が失われることを防ぐことができます。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | 冗長な Site-to-Site VPN トンネルを実装することで、回復性の要件を満たすことができます。2 つのトンネルを使用することで、Site-to-Site VPN 接続の 1 つが使用できなくなった場合の接続を確保します。カスタマーゲートウェイが使用できなくなった場合に接続が失われるのを防ぐために、2 つ目のカスタマーゲートウェイを使用して Amazon Virtual Private Cloud (Amazon VPC) および仮想プライベートゲートウェイへの 2 つ目の Site-to-Site VPN 接続を設定できます。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | 保管中のデータを保護するため、API Gateway ステージのキャッシュで暗号化が有効になっていることを確認します。機密データは API のメソッドでキャプチャされる可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon OpenSearch Service のノード間の暗号化を有効にします。ノード間の暗号化により、Amazon Virtual Private Cloud (Amazon VPC) 内のすべての通信で TLS 1.2 暗号化が有効になります。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| B3.b Data in Transit | 本質的な機能の運用に重要なデータの転送を保護しました。これには、サードパーティーへのデータ転送が含まれます。 | Amazon OpenSearch Service のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の Amazon OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイス、そして VPN 接続を必要とせずに、Amazon OpenSearch と Amazon VPC 内にある他のサービスの間での安全な通信が可能になります。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 機密データが含まれている可能性があるため、AWS CloudTrail の証跡で暗号化を有効にして、保管中のデータを保護します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 保管中の機密データを保護するため、Amazon CloudWatch ロググループで暗号化が有効になっていることを確認します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | Amazon DynamoDB テーブルで、暗号化が有効になっていることを確認します。これらのテーブルには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。デフォルトでは、DynamoDB のテーブルは AWS が所有するカスタマーマスターキー (CMK) で暗号化されます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 保管中のデータを保護するため、Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。これらのボリュームには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic File System (EFS) で暗号化が有効になっていることを確認します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service (OpenSearch Service) ドメインで暗号化が有効になっていることを確認します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon Elastic Block Store (Amazon EBS) ボリュームで暗号化が有効になっていることを確認します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | Amazon Relational Database Service (Amazon RDS) スナップショットで、暗号化が有効になっていることを確認します。機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 保管中のデータを保護するため、Amazon Relational Database Service (Amazon RDS) インスタンスで暗号化が有効になっていることを確認します。Amazon RDS インスタンスには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、clusterDbEncrypted (Config デフォルト: TRUE) と loggingEnabled (Config デフォルト:TRUE) の値が設定されている必要があります。実際の値には、組織のポリシーを反映する必要があります。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 保管中のデータを保護するため、Amazon Simple Storage Service (Amazon S3) バケットで暗号化が有効になっていることを確認します。Amazon S3 バケットには機密データが含まれている可能性があるため、暗号化を有効にしてデータを保護します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 保管中のデータを保護するため、SageMaker エンドポイントで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker エンドポイントには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 保管中のデータを保護するため、SageMaker ノートブックで AWS Key Management Service (AWS KMS) による暗号化が有効になっていることを確認します。SageMaker ノートブックには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 保管中のデータを保護するため、Amazon Simple Notification Service (Amazon SNS) トピックで AWS Key Management Service (AWS KMS) を使用する暗号化が必要かどうかを確認します。公開されたメッセージには機密データが含まれている可能性があるため、保管時の暗号化を有効にしてデータを保護します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | キーのローテーションを有効にして、暗号化期間の最後に到達した後にキーがローテーションされるようにします。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 保管中のデータを保護するため、AWS Key Management Service (AWS KMS) で、必要なカスタマーマスターキー (CMK) の削除がスケジュールされていないことを確認します。キーの削除が必要になる場合があるため、このルールでは、キーが意図せずスケジュールされた場合に備えて、削除予定のすべてのキーをチェックすることができます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | Amazon RDS のバックアップ機能では、データベースとトランザクションログのバックアップが作成されます。Amazon RDS により、DB インスタンスクラスターのストレージボリュームのスナップショットが自動的に作成され、DB インスタンス全体がバックアップされます。このシステムでは、回復性の要件を満たす特定の保持期間を設定できます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | データのバックアッププロセスを実行するため、Amazon DynamoDB テーブルが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | このルールを有効にして、情報がバックアップされているかどうかをチェックします。また、Amazon DynamoDB でポイントインタイムリカバリが有効になっているかどうかを確認することで、バックアップを維持します。リカバリによって、過去 35 日間のテーブルの継続的なバックアップが維持されます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | データのバックアッププロセスを実行するには、Amazon Elastic Block Store (Amazon EBS) ボリュームが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | Amazon Elastic Block Store (Amazon EBS) の最適化インスタンスは、Amazon EBS I/O 操作専用の追加容量を提供します。この最適化は、Amazon EBS I/O 操作とその他のインスタンスからのトラフィック間の競合を最小化することで、EBS ボリュームの効率的なパフォーマンスを実現します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | データのバックアッププロセスを実行するには、Amazon Elastic File System (Amazon EFS) ファイルシステムが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 自動バックアップが有効になっている場合、Amazon ElastiCache はクラスターのバックアップを毎日作成します。バックアップは、組織の指定により数日間、保持することができます。自動バックアップは、データ損失を防ぐのに役立ちます。障害が発生した場合は、新しいクラスターを作成して、最新のバックアップからデータを復元できます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | データのバックアッププロセスを実行するには、Amazon Relational Database Service (Amazon RDS) インスタンスが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | Amazon Simple Storage Service (Amazon S3) クロスリージョンレプリケーション (CRR) は、十分な容量と可用性の維持をサポートします。CRR により、Amazon S3 バケット間でオブジェクトを自動的に非同期コピーできるため、データの可用性が維持されます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | Amazon Simple Storage Service (Amazon S3) バケットのバージョニングは、同じ Amazon S3 バケットでオブジェクトの複数のバリアントを保持するのに役立ちます。バージョニングを使用すると、Amazon S3 バケットに保存されたあらゆるオブジェクトのすべてのバージョンを、保存、取得、復元することができます。バージョニングによって、意図しないユーザーアクションやアプリケーション障害から簡単に復旧できます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | Amazon Relational Database Service (Amazon RDS) インスタンスで、削除保護が有効になっていることを確認します。削除保護を使用すると、Amazon RDS インスタンが誤って削除されたり、悪意を持って削除されることでアプリケーションの可用性が失われることを防ぐことができます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | Amazon Simple Storage Service (Amazon S3) バケットで、 デフォルトでロックが有効になっていることを確認します。S3 バケットには機密データが含まれている可能性があるため、保管時にオブジェクトロックを適用してデータを保護します。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | Amazon Relational Database Service (Amazon RDS) のマルチ AZ のサポートにより、データベースインスタンスの可用性と耐久性が強化されます。マルチ AZ のデータベースインスタンスをプロビジョニングすると、Amazon RDS はプライマリデータベースのインスタンスを自動的に作成し、別のアベイラビリティーゾーンのスタンバイインスタンスにデータを同期的にレプリケートします。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon RDS ではスタンバイへの自動フェイルオーバーが実行されるため、フェイルオーバーが完了するとすぐにデータベース運用を再開できます。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | X509 証明書が AWS ACM によって発行されるようにすることにより、ネットワークの整合性を保護します。これらの証明書は有効で、期限切れではない必要があります。このルールには、daysToExpiration の値が必要です (AWS の基本的なセキュリティのベストプラクティスの値: 90)。実際の値には、組織のポリシーを反映する必要があります。 | |
| B3.c Stored Data | 必須機能のオペレーションに重要な保存データを保護しました。 | 機密データが含まれている可能性があるため、保管中のデータを保護するために Amazon OpenSearch Service ドメインで暗号化が有効になっていることを確認します。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Elastic Load Balancing (ELB) が、http ヘッダーを削除するように設定されていることを確認します。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | 転送中のデータを保護するため、暗号化されていない HTTP リクエストを Application Load Balancer が HTTPS に自動的にリダイレクトするようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | ウェブアプリケーションを保護するため、Elastic Load Balancing (ELB) で AWS WAF が有効になっていることを確認します。WAF は、一般的なウェブの脆弱性からウェブアプリケーションや API を保護するのに役立ちます。これらのウェブの脆弱性は、お客様の環境で可用性に影響を与えたり、セキュリティを侵害したり、リソースを過剰に消費したりする可能性があります。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | DMS レプリケーションインスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。DMS レプリケーションインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | EBS スナップショットがパブリックで復元されないようにすることにより、AWS クラウドへのアクセスを管理します。EBS ボリュームスナップショットには機密情報が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Elastic Compute Cloud (Amazon EC2) インスタンスにパブリックにアクセスできないようにして、AWS クラウドへのアクセスを管理します。Amazon EC2 インスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon OpenSearch Service (OpenSearch Service) のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイスや VPN 接続なしで、OpenSearch Service と他のサービス間に Amazon VPC 内で安全な通信ができるようになります。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | 機密データが含まれている可能性があるため、転送中のデータを保護するために Elastic Load Balancing で暗号化を有効にします。AWS Certificate Manager を使用して、AWS のサービスと内部リソースによってパブリックおよびプライベートの SSL/TLS 証明書を管理、プロビジョニング、およびデプロイします。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Elastic Load Balancing (ELB) が、SSL または HTTPS リスナーを使用して設定されるようにします。機密データが含まれている可能性があるため、転送中の暗号化を有効にしてデータを保護します。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon EMR クラスターマスターノードにパブリックにアクセスできないようにすることにより、AWS クラウドへのアクセスを管理します。Amazon EMR クラスターのマスターノードには機密情報が含まれている可能性があるため、これらのアカウントに対するアクセスコントロールが必要です。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスの管理ができます。リソースで 0.0.0.0/0 からポート 22 への入力 (またはリモート) トラフィックを許可しないようにすることで、リモートアクセスを制限できます。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Virtual Private Cloud (Amazon VPC) 内に Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを展開し、Amazon VPC 内でのインスタンスとサービス間の安全な通信を、インターネットゲートウェイ、NAT デバイス、VPN 接続を必要とせず可能にします。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。Amazon EC2 インスタンスを Amazon VPC に割り当て、アクセスを適切に管理します。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | インターネットゲートウェイが、認可された Amazon Virtual Private Cloud (Amazon VPC) にのみアタッチされるようにして、AWS クラウドのリソースへのアクセスを管理します。インターネットゲートウェイは、Amazon VPC との間の双方向インターネットアクセスを可能にしますが、これにより Amazon VPC リソースへの不正アクセスが発生する可能性があります。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | AWS Lambda 関数へのパブリックアクセスができないようにして、AWS クラウドのリソースへのアクセスを管理します。パブリックアクセスにより、リソースの可用性の低下を招く可能性があります。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | AWS Lambda 関数を Amazon Virtual Private Cloud (Amazon VPC) 内にデプロイして、関数と Amazon VPC 内の他のサービスとの間の安全な通信を実現します。この設定では、インターネットゲートウェイ、NAT デバイス、VPN 接続を使用する必要はありません。すべてのトラフィックは AWS クラウド内で安全に保持されます。論理的な隔離により、VPC 内に存在するドメインには、パブリックエンドポイントを使用するドメインに比較して、より拡張されたセキュリティレイヤーがあります。アクセスを適切に管理するため、AWS Lambda 関数を VPC に割り当てる必要があります。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Relational Database Service (Amazon RDS) インスタンスが公開されないようにして、AWS クラウドのリソースへのアクセスを管理します。Amazon RDS データベースインスタンスには機密情報と原則が含まれている可能性があるため、それらのアカウントに対するアクセスコントロールが必要です。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Redshift クラスターが公開されないようにすることで、AWS クラウドのリソースへのアクセスを管理します。Amazon Redshift クラスターには機密情報が含まれている可能性があるため、これらのアカウントに対する原則とアクセスコントロールが必要です。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。ポートへのアクセスを信頼できるソースに制限しなければ、システムの可用性、完全性、機密性に対する脅威を招く可能性があります。このルールでは、blockedPort1 - blockedPort5 パラメータを必要に応じて設定できます (Config デフォルト: 20、21、3389、3306、4333)。実際の値には、組織のポリシーを反映する必要があります。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Simple Storage Service (Amazon S3) バケットにパブリックにアクセスできないようにすることで、AWS クラウドのリソースへのアクセスを管理します。このルールは、パブリックアクセスを防止することで、権限のないリモートユーザーから機密データを保護するのに役立ちます。このルールでは、ignorePublicAcls (Config デフォルト: True)、blockPublicPolicy (Config デフォルト: True)、blockPublicAcls (Config デフォルト: True)、および restrictPublicBuckets (Config デフォルト: True) の各パラメータを必要に応じて設定できます。実際の値には、組織のポリシーを反映する必要があります。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | 権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | 権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon SageMaker ノートブックがインターネットからの直接アクセスを許可しないことにより、AWS クラウド内のリソースへのアクセスを管理します。インターネットからの直接アクセスを防止することで、権限のないユーザーが機密データにアクセスするのを防ぐことができます。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループでは、AWS リソースへの入力および出力ネットワークトラフィックのステートフルフィルタリングを使用して、ネットワークアクセスを管理できます。デフォルトのセキュリティグループ上のすべてのトラフィックを制限すると、AWS リソースへのリモートアクセスを制限することができます。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Elastic Compute Cloud (Amazon EC2) セキュリティグループの共通ポートに制限をかけることにより、AWS クラウド上のリソースへのアクセスを管理します。信頼できるソースへのポートに対するアクセスを制限しないと、システムの可用性、完全性、機密性に対する攻撃を招く可能性があります。インターネットからのセキュリティグループ内のリソースへのアクセスを制限することで (0.0.0.0/0)、内部システムへのリモートアクセスをコントロールできます。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling グループの Elastic Load Balancing (ELB) ヘルスチェックは、十分な容量と可用性の維持をサポートします。ロードバランサーは、定期的に ping の送信、接続の試行、リクエストの送信を実行し、Auto scaling グループ内の Amazon EC2 インスタンスのヘルスステータスをテストします。インスタンスによってレポートが返されない場合、新しい Amazon EC2 インスタンスにトラフィックが送信されます。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon DynamoDB Auto Scaling は AWS Application Auto Scaling サービスを使用し、ユーザーに代わって、実際のトラフィックパターンに自動的に応答するプロビジョンドスループットキャパシティを調節します。これにより、テーブルまたはグローバルセカンダリインデックスで、プロビジョンされた読み取りおよび書き込みの容量が拡張され、トラフィックの急激な増加をスロットリングなしで処理できるようになります。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | このルールを有効にすると、Amazon DynamoDB テーブルでのプロビジョンドスループットキャパシティがチェックされるようになります。これは、各テーブルがサポートできる読み取りおよび書き込みアクティビティの量です。DynamoDB はこの情報を使用して、スループット要件を満たすのに十分なシステムリソースを予約します。このルールでは、スループットがお客様のアカウントの最大限度に近づいたときにアラートが生成されます。このルールでは、accountRCUThresholdPercentage (Config デフォルト: 80) および accountWCUThresholdPercentage (Config デフォルト: 80) のパラメータを必要に応じて設定できます。実際の値には、組織のポリシーを反映する必要があります。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Elastic Load Balancing (ELB) のクロスゾーン負荷分散を有効にして、十分な容量と可用性を維持します。クロスゾーン負荷分散により、有効な各アベイラビリティーゾーンで同じインスタンス数を維持する必要性が軽減されます。また、1 つ以上のインスタンスの消失を処理するアプリケーションの能力が向上します。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | このルールにより、Elastic Load Balancing で削除保護が有効になっているかどうかを確認します。この機能を使用すると、ロードバランサーが誤って削除されたり悪意を持って削除されることで、アプリケーションの可用性が失われることを防ぐことができます。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | このルールにより、Lambda 関数の同時実行数の上限と下限が確立されているかどうかを確認します。これは、関数が任意の時点で処理しているリクエスト数をベースライン化する際に役立ちます。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Relational Database Service (Amazon RDS) インスタンスで、削除保護が有効になっていることを確認します。削除保護を使用すると、Amazon RDS インスタンが誤って削除されたり、悪意を持って削除されることでアプリケーションの可用性が失われることを防ぐことができます。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Relational Database Service (Amazon RDS) のマルチ AZ のサポートにより、データベースインスタンスの可用性と耐久性が強化されます。マルチ AZ のデータベースインスタンスをプロビジョニングすると、Amazon RDS はプライマリデータベースのインスタンスを自動的に作成し、別のアベイラビリティーゾーンのスタンバイインスタンスにデータを同期的にレプリケートします。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon RDS ではスタンバイへの自動フェイルオーバーが実行されるため、フェイルオーバーが完了するとすぐにデータベース運用を再開できます。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon Simple Storage Service (Amazon S3) バケットで、 デフォルトでロックが有効になっていることを確認します。S3 バケットには機密データが含まれている可能性があるため、保管時にオブジェクトロックを適用してデータを保護します。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | 冗長な Site-to-Site VPN トンネルを実装することで、回復性の要件を満たすことができます。2 つのトンネルを使用することで、Site-to-Site VPN 接続の 1 つが使用できなくなった場合の接続を確保します。カスタマーゲートウェイが使用できなくなった場合に接続が失われるのを防ぐために、2 つ目のカスタマーゲートウェイを使用して Amazon Virtual Private Cloud (Amazon VPC) および仮想プライベートゲートウェイへの 2 つ目の Site-to-Site VPN 接続を設定できます。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | AWS Systems Manager を使用して Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを管理することで、組織内のソフトウェアプラットフォームやアプリケーションのインベントリを作成できます。AWS Systems Manager を使用して、詳細なシステム設定、オペレーティングシステムのパッチレベル、サービス名とタイプ、ソフトウェアのインストール、アプリケーション名、パブリッシャーとバージョン、および環境に関するその他の詳細を提供します。 | |
| B4.a Secure by Design | 必須機能の運用を支えるネットワークや情報システムにセキュリティを設計します。攻撃対象領域を最小化し、単一の脆弱性が悪用されることによって基本機能の運用が影響を受けることがないようにします。 | Amazon OpenSearch Service のドメインが Amazon Virtual Private Cloud (Amazon VPC) 内にあることを確認して、AWS クラウドへのアクセスを管理します。Amazon VPC 内の Amazon OpenSearch Service のドメインによって、インターネットゲートウェイ、NAT デバイス、そして VPN 接続を必要とせずに、Amazon OpenSearch と Amazon VPC 内にある他のサービスの間での安全な通信が可能になります。 | |
| B4.b Secure Configuration | 重要な機能の運用を支えるネットワークと情報システムを安全に設定することができます。 | AWS Systems Manager Association を使用することで、組織内でソフトウェアプラットフォームやアプリケーションのインベントリを作成できます。AWSSystems Manager では、マネージドインスタンスに設定のステータスを割り当て、オペレーティングシステムのパッチレベル、ソフトウェアのインストール、アプリケーション設定、環境に関するその他の詳細のベースラインを設定できます。 | |
| B4.b Secure Configuration | 重要な機能の運用を支えるネットワークと情報システムを安全に設定することができます。 | このルールを有効にすると、Amazon Elastic Compute Cloud (Amazon EC2) の脆弱性の特定とドキュメント化ができます。このルールにより、AWS Systems Manager で、Amazon EC2 インスタンスのパッチコンプライアンスが組織のポリシーや手順で要求されているかどうかをチェックします。 | |
| B4.b Secure Configuration | 重要な機能の運用を支えるネットワークと情報システムを安全に設定することができます。 | Instance Metadata Service Version 2 (IMDSv2) メソッドが有効になっていることを確認することで、Amazon Elastic Compute Cloud (Amazon EC2) のインスタンスメタデータのアクセスとコントロールを保護します。IMDSv2 メソッドでは、セッションベースのコントロールを使用します。IMDSv2 を使用すると、インスタンスメタデータへの変更を制限するためのコントロールを実装できます。 | |
| B4.b Secure Configuration | 重要な機能の運用を支えるネットワークと情報システムを安全に設定することができます。 | このルールにより、Amazon Redshift クラスターで組織に適した設定が行われるようになります。具体的には、データベースの任意のメンテナンスウインドウと自動スナップショットの保持期間を設定します。このルールでは、allowVersionUpgrade を設定する必要があります。デフォルトは true です。必要に応じて、「preferredMaintenanceWindow (デフォルトは「sat: 16:00-sat: 16:30」) と automatedSnapshotRetentionPeriod (デフォルトは 1) を設定することもできます。実際の値には、組織のポリシーを反映する必要があります。 | |
| B4.c Secure Management | セキュリティの確保と維持を可能にするために、必須機能の運用をサポートする組織のネットワークと情報システムを管理します。 | このルールを有効にすると、Amazon Elastic Compute Cloud (Amazon EC2) の脆弱性の特定とドキュメント化ができます。このルールにより、AWS Systems Manager で、Amazon EC2 インスタンスのパッチコンプライアンスが組織のポリシーや手順で要求されているかどうかをチェックします。 | |
| B4.c Secure Management | セキュリティの確保と維持を可能にするために、必須機能の運用をサポートする組織のネットワークと情報システムを管理します。 | Instance Metadata Service Version 2 (IMDSv2) メソッドが有効になっていることを確認することで、Amazon Elastic Compute Cloud (Amazon EC2) のインスタンスメタデータのアクセスとコントロールを保護します。IMDSv2 メソッドでは、セッションベースのコントロールを使用します。IMDSv2 を使用すると、インスタンスメタデータへの変更を制限するためのコントロールを実装できます。 | |
| B4.c Secure Management | セキュリティの確保と維持を可能にするために、必須機能の運用をサポートする組織のネットワークと情報システムを管理します。 | AWS Systems Manager を使用して Amazon Elastic Compute Cloud (Amazon EC2) インスタンスを管理することで、組織内のソフトウェアプラットフォームやアプリケーションのインベントリを作成できます。AWS Systems Manager を使用して、詳細なシステム設定、オペレーティングシステムのパッチレベル、サービス名とタイプ、ソフトウェアのインストール、アプリケーション名、パブリッシャーとバージョン、および環境に関するその他の詳細を提供します。 | |
| B4.d。Vulnerability Management | ネットワークや情報システムの既知の脆弱性を管理し、必須機能に悪影響が及ばないようにする。 | AWS Systems Manager Association を使用することで、組織内でソフトウェアプラットフォームやアプリケーションのインベントリを作成できます。AWSSystems Manager では、マネージドインスタンスに設定のステータスを割り当て、オペレーティングシステムのパッチレベル、ソフトウェアのインストール、アプリケーション設定、環境に関するその他の詳細のベースラインを設定できます。 | |
| B4.d。Vulnerability Management | ネットワークや情報システムの既知の脆弱性を管理し、必須機能に悪影響が及ばないようにする。 | このルールを有効にすると、Amazon Elastic Compute Cloud (Amazon EC2) の脆弱性の特定とドキュメント化ができます。このルールにより、AWS Systems Manager で、Amazon EC2 インスタンスのパッチコンプライアンスが組織のポリシーや手順で要求されているかどうかをチェックします。 | |
| B4.d。Vulnerability Management | ネットワークや情報システムの既知の脆弱性を管理し、必須機能に悪影響が及ばないようにする。 | Instance Metadata Service Version 2 (IMDSv2) メソッドが有効になっていることを確認することで、Amazon Elastic Compute Cloud (Amazon EC2) のインスタンスメタデータのアクセスとコントロールを保護します。IMDSv2 メソッドでは、セッションベースのコントロールを使用します。IMDSv2 を使用すると、インスタンスメタデータへの変更を制限するためのコントロールを実装できます。 | |
| B4.d。Vulnerability Management | ネットワークや情報システムの既知の脆弱性を管理し、必須機能に悪影響が及ばないようにする。 | このルールにより、Amazon Redshift クラスターで組織に適した設定が行われるようになります。具体的には、データベースの任意のメンテナンスウインドウと自動スナップショットの保持期間を設定します。このルールでは、allowVersionUpgrade を設定する必要があります。デフォルトは true です。必要に応じて、「preferredMaintenanceWindow (デフォルトは「sat: 16:00-sat: 16:30」) と automatedSnapshotRetentionPeriod (デフォルトは 1) を設定することもできます。実際の値には、組織のポリシーを反映する必要があります。 | |
| B4.d。Vulnerability Management | ネットワークや情報システムの既知の脆弱性を管理し、必須機能に悪影響が及ばないようにする。 | AWS Security Hub は、権限のない人員、接続、デバイス、ソフトウェアのモニタリングに役立ちます。AWSSecurity Hub によって、複数の AWS のサービスからのセキュリティアラート (検出結果) が集計、整理、優先順位付けされます。対象のサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager、AWS パートナーソリューションなどがあります。 | |
| B4.d。Vulnerability Management | ネットワークや情報システムの既知の脆弱性を管理し、必須機能に悪影響が及ばないようにする。 | 冗長な Site-to-Site VPN トンネルを実装することで、回復性の要件を満たすことができます。2 つのトンネルを使用することで、Site-to-Site VPN 接続の 1 つが使用できなくなった場合の接続を確保します。カスタマーゲートウェイが使用できなくなった場合に接続が失われるのを防ぐために、2 つ目のカスタマーゲートウェイを使用して Amazon Virtual Private Cloud (Amazon VPC) および仮想プライベートゲートウェイへの 2 つ目の Site-to-Site VPN 接続を設定できます。 | |
| B5.b Design for Resilience | サイバーセキュリティのインシデントに耐えられるように、重要な機能を支えるネットワークと情報システムを設計します。システムは適切に分離され、リソースの制限は緩和されます。 | Elastic Load Balancing (ELB) のクロスゾーン負荷分散を有効にして、十分な容量と可用性を維持します。クロスゾーン負荷分散により、有効な各アベイラビリティーゾーンで同じインスタンス数を維持する必要性が軽減されます。また、1 つ以上のインスタンスの消失を処理するアプリケーションの能力が向上します。 | |
| B5.b Design for Resilience | サイバーセキュリティのインシデントに耐えられるように、重要な機能を支えるネットワークと情報システムを設計します。システムは適切に分離され、リソースの制限は緩和されます。 | Amazon Relational Database Service (Amazon RDS) のマルチ AZ のサポートにより、データベースインスタンスの可用性と耐久性が強化されます。マルチ AZ のデータベースインスタンスをプロビジョニングすると、Amazon RDS はプライマリデータベースのインスタンスを自動的に作成し、別のアベイラビリティーゾーンのスタンバイインスタンスにデータを同期的にレプリケートします。各アベイラビリティーゾーンは、物理的に独立した独自のインフラストラクチャで実行されますが、高度な信頼性を実現できるよう設計されています。インフラストラクチャに障害が発生した場合、Amazon RDS ではスタンバイへの自動フェイルオーバーが実行されるため、フェイルオーバーが完了するとすぐにデータベース運用を再開できます。 | |
| B5.b Design for Resilience | サイバーセキュリティのインシデントに耐えられるように、重要な機能を支えるネットワークと情報システムを設計します。システムは適切に分離され、リソースの制限は緩和されます。 | Amazon RDS のバックアップ機能では、データベースとトランザクションログのバックアップが作成されます。Amazon RDS により、DB インスタンスクラスターのストレージボリュームのスナップショットが自動的に作成され、DB インスタンス全体がバックアップされます。このシステムでは、回復性の要件を満たす特定の保持期間を設定できます。 | |
| B5.c Backups | 重要な機能を回復するために必要なデータおよび情報のバックアップを、アクセス可能かつ安全に保持します。 | データのバックアッププロセスを実行するため、Amazon DynamoDB テーブルが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。 | |
| B5.c Backups | 重要な機能を回復するために必要なデータおよび情報のバックアップを、アクセス可能かつ安全に保持します。 | このルールを有効にして、情報がバックアップされているかどうかをチェックします。また、Amazon DynamoDB でポイントインタイムリカバリが有効になっているかどうかを確認することで、バックアップを維持します。リカバリによって、過去 35 日間のテーブルの継続的なバックアップが維持されます。 | |
| B5.c Backups | 重要な機能を回復するために必要なデータおよび情報のバックアップを、アクセス可能かつ安全に保持します。 | データのバックアッププロセスを実行するには、Amazon Elastic Block Store (Amazon EBS) ボリュームが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。 | |
| B5.c Backups | 重要な機能を回復するために必要なデータおよび情報のバックアップを、アクセス可能かつ安全に保持します。 | Amazon Elastic Block Store (Amazon EBS) の最適化インスタンスは、Amazon EBS I/O 操作専用の追加容量を提供します。この最適化は、Amazon EBS I/O 操作とその他のインスタンスからのトラフィック間の競合を最小化することで、EBS ボリュームの効率的なパフォーマンスを実現します。 | |
| B5.c Backups | 重要な機能を回復するために必要なデータおよび情報のバックアップを、アクセス可能かつ安全に保持します。 | データのバックアッププロセスを実行するには、Amazon Elastic File System (Amazon EFS) ファイルシステムが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。 | |
| B5.c Backups | 重要な機能を回復するために必要なデータおよび情報のバックアップを、アクセス可能かつ安全に保持します。 | 自動バックアップが有効になっている場合、Amazon ElastiCache はクラスターのバックアップを毎日作成します。バックアップは、組織の指定により数日間、保持することができます。自動バックアップは、データ損失を防ぐのに役立ちます。障害が発生した場合は、新しいクラスターを作成して、最新のバックアップからデータを復元できます。 | |
| B5.c Backups | 重要な機能を回復するために必要なデータおよび情報のバックアップを、アクセス可能かつ安全に保持します。 | データのバックアッププロセスを実行するには、Amazon Relational Database Service (Amazon RDS) インスタンスが AWS Backup のプランに含まれていることを確認します。AWSBackup は、ポリシーベースのバックアップソリューションを備えた、フルマネージドのバックアップサービスです。このソリューションを使用すると、バックアップの管理が簡素化され、バックアップに関するビジネスおよび規制のコンプライアンス要件を満たすことができます。 | |
| B5.c Backups | 重要な機能を回復するために必要なデータおよび情報のバックアップを、アクセス可能かつ安全に保持します。 | Amazon Simple Storage Service (Amazon S3) クロスリージョンレプリケーション (CRR) は、十分な容量と可用性の維持をサポートします。CRR により、Amazon S3 バケット間でオブジェクトを自動的に非同期コピーできるため、データの可用性が維持されます。 | |
| B5.c Backups | 重要な機能を回復するために必要なデータおよび情報のバックアップを、アクセス可能かつ安全に保持します。 | Amazon Simple Storage Service (Amazon S3) バケットのバージョニングは、同じ Amazon S3 バケットでオブジェクトの複数のバリアントを保持するのに役立ちます。バージョニングを使用すると、Amazon S3 バケットに保存されたあらゆるオブジェクトのすべてのバージョンを、保存、取得、復元することができます。バージョニングによって、意図しないユーザーアクションやアプリケーション障害から簡単に復旧できます。 | |
| B5.c Backups | 重要な機能を回復するために必要なデータおよび情報のバックアップを、アクセス可能かつ安全に保持します。 | Amazon Elastic Compute Cloud (Amazon EC2) Auto Scaling グループの Elastic Load Balancing (ELB) ヘルスチェックは、十分な容量と可用性の維持をサポートします。ロードバランサーは、定期的に ping の送信、接続の試行、リクエストの送信を実行し、Auto scaling グループ内の Amazon EC2 インスタンスのヘルスステータスをテストします。インスタンスによってレポートが返されない場合、新しい Amazon EC2 インスタンスにトラフィックが送信されます。 | |
| C1.a Monitoring Coverage | モニタリングに含めるデータソースによって、重要な機能の運用に影響を及ぼす可能性のあるセキュリティイベントをタイムリーに特定することができます。 | Amazon CloudWatch を使用して、イベントのアクティビティログを一元的に収集および管理します。AWS CloudTrail データを含めることで、お客様の AWS アカウント 内の API コールのアクティビティの詳細を提供します。 | |
| C1.a Monitoring Coverage | モニタリングに含めるデータソースによって、重要な機能の運用に影響を及ぼす可能性のあるセキュリティイベントをタイムリーに特定することができます。 | Amazon CloudWatch アラームは、メトリクスが指定された評価期間数のしきい値を超えたときにアラームで警告します。アラームは、複数の期間にわたる閾値に対するメトリックまたはメートルの値に基づいて、1つまたは複数のアクションを実行します。このルールには、alarmActionRequired (Config デフォルト: True)、insufficientDataActionRequired (Config デフォルト: True)、okActionRequired (Config デフォルト: False) の値が必要です。実際の値には、環境に合わせたアラームのアクションを反映する必要があります。 | |
| C1.a Monitoring Coverage | モニタリングに含めるデータソースによって、重要な機能の運用に影響を及ぼす可能性のあるセキュリティイベントをタイムリーに特定することができます。 | このルールを有効にすると、Amazon DynamoDB テーブルでのプロビジョンドスループットキャパシティがチェックされるようになります。これは、各テーブルがサポートできる読み取りおよび書き込みアクティビティの量です。DynamoDB はこの情報を使用して、スループット要件を満たすのに十分なシステムリソースを予約します。このルールでは、スループットがお客様のアカウントの最大限度に近づいたときにアラートが生成されます。このルールでは、accountRCUThresholdPercentage (Config デフォルト: 80) および accountWCUThresholdPercentage (Config デフォルト: 80) のパラメータを必要に応じて設定できます。実際の値には、組織のポリシーを反映する必要があります。 | |
| C1.a Monitoring Coverage | モニタリングに含めるデータソースによって、重要な機能の運用に影響を及ぼす可能性のあるセキュリティイベントをタイムリーに特定することができます。 | このルールを有効にすると、Amazon EC2 コンソールでの Amazon Elastic Compute Cloud (Amazon EC2) インスタンスのモニタリングを改善できます。このルールでは、インスタンスの 1 分ごとのモニタリンググラフが表示されます。 | |
| C1.a Monitoring Coverage | モニタリングに含めるデータソースによって、重要な機能の運用に影響を及ぼす可能性のあるセキュリティイベントをタイムリーに特定することができます。 | Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。 | |
| C1.a Monitoring Coverage | モニタリングに含めるデータソースによって、重要な機能の運用に影響を及ぼす可能性のあるセキュリティイベントをタイムリーに特定することができます。 | Amazon GuardDuty では、調査結果が重要度 (低、中、高) で分類されるため、インシデントによる影響を把握することができます。これらの分類を使用して、修復戦略と優先度を決定することができます。このルールでは、組織のポリシーで要求される場合に、アーカイブされていない結果に対して daysLowSev (Config デフォルト: 30)、daysMediumSev (Config デフォルト: 7)、daysHighSev (Config デフォルト: 1) を必要に応じて設定できます。 | |
| C1.a Monitoring Coverage | モニタリングに含めるデータソースによって、重要な機能の運用に影響を及ぼす可能性のあるセキュリティイベントをタイムリーに特定することができます。 | このルールにより、Lambda 関数の同時実行数の上限と下限が確立されているかどうかを確認します。これは、関数が任意の時点で処理しているリクエスト数をベースライン化する際に役立ちます。 | |
| C1.a Monitoring Coverage | モニタリングに含めるデータソースによって、重要な機能の運用に影響を及ぼす可能性のあるセキュリティイベントをタイムリーに特定することができます。 | このルールを有効にすると、機能が失敗した場合に、Amazon Simple Queue Service (Amazon SQS) または Amazon Simple Notification Service (Amazon SNS) を介して、適切な担当者に通知できます。 | |
| C1.a Monitoring Coverage | モニタリングに含めるデータソースによって、重要な機能の運用に影響を及ぼす可能性のあるセキュリティイベントをタイムリーに特定することができます。 | Amazon Relational Database Service (Amazon RDS) を有効にすると、Amazon RDS の可用性をモニタリングできます。これにより、Amazon RDS データベースインスタンスのヘルスステータスの詳細が可視化されます。Amazon RDS ストレージが、複数の基盤となる物理デバイスを使用している場合、拡張モニタリングによって各デバイスのデータが収集されます。また、Amazon RDS データベースインスタンスがマルチ AZ 配置で実行されている場合、セカンダリホスト上の各デバイスのデータと、セカンダリホストのメトリクスが収集されます。 | |
| C1.a Monitoring Coverage | モニタリングに含めるデータソースによって、重要な機能の運用に影響を及ぼす可能性のあるセキュリティイベントをタイムリーに特定することができます。 | AWS Security Hub は、権限のない人員、接続、デバイス、ソフトウェアのモニタリングに役立ちます。AWSSecurity Hub によって、複数の AWS のサービスからのセキュリティアラート (検出結果) が集計、整理、優先順位付けされます。対象のサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager、AWS パートナーソリューションなどがあります。 | |
| C1.a Monitoring Coverage | モニタリングに含めるデータソースによって、重要な機能の運用に影響を及ぼす可能性のあるセキュリティイベントをタイムリーに特定することができます。 | Amazon Simple Storage Service (Amazon S3) バケットで、 デフォルトでロックが有効になっていることを確認します。S3 バケットには機密データが含まれている可能性があるため、保管時にオブジェクトロックを適用してデータを保護します。 | |
| C1.b Securing Logs | ログデータは安全に保管し、業務上必要なアカウントにのみ読み取り権限を付与します。従業員は、合意した保存期間中にログデータの修正や削除を行う必要がないようにします。保存期間の終了後に削除します。 | Amazon Simple Storage Service (Amazon S3) サーバーアクセスのログ記録によって、ネットワークをモニタリングし、潜在的なサイバーセキュリティイベントに対応することができます。Amazon S3 バケットに対して行われたリクエストの詳細な記録をキャプチャすることで、イベントをモニタリングします。各アクセスのログレコードから、1 つのアクセスリクエストについての詳細情報を取得できます。詳細情報には、リクエスタ、バケット名、リクエスト時刻、リクエストアクション、レスポンスのステータス、エラーコード (該当する場合) などの情報が含まれます。 | |
| C1.b Securing Logs | ログデータは安全に保管し、業務上必要なアカウントにのみ読み取り権限を付与します。従業員は、合意した保存期間中にログデータの修正や削除を行う必要がないようにします。保存期間の終了後に削除します。 | s3_ bucket_policy_grantee_check を有効にして、AWS クラウドへのアクセスを管理します。このルールにより、Amazon S3 バケットによって許可されたアクセスが、指定した任意の AWS プリンシパル、フェデレーティッドユーザー、サービスプリンシパル、IP アドレス、Amazon Virtual Private Cloud (Amazon VPC) ID によって制限されているかどうかチェックされます。 | |
| C1.b Securing Logs | ログデータは安全に保管し、業務上必要なアカウントにのみ読み取り権限を付与します。従業員は、合意した保存期間中にログデータの修正や削除を行う必要がないようにします。保存期間の終了後に削除します。 | 権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。 | |
| C1.b Securing Logs | ログデータは安全に保管し、業務上必要なアカウントにのみ読み取り権限を付与します。従業員は、合意した保存期間中にログデータの修正や削除を行う必要がないようにします。保存期間の終了後に削除します。 | 権限のあるユーザー、プロセス、デバイスに Amazon Simple Storage Service (Amazon S3) バケットへのアクセスのみを許可することにより、AWS クラウド内のリソースへのアクセスを管理します。アクセスの管理は、データの分類と一致している必要があります。 | |
| C1.b Securing Logs | ログデータは安全に保管し、業務上必要なアカウントにのみ読み取り権限を付与します。従業員は、合意した保存期間中にログデータの修正や削除を行う必要がないようにします。保存期間の終了後に削除します。 | Amazon Simple Storage Service (Amazon S3) クロスリージョンレプリケーション (CRR) は、十分な容量と可用性の維持をサポートします。CRR により、Amazon S3 バケット間でオブジェクトを自動的に非同期コピーできるため、データの可用性が維持されます。 | |
| C1.b Securing Logs | ログデータは安全に保管し、業務上必要なアカウントにのみ読み取り権限を付与します。従業員は、合意した保存期間中にログデータの修正や削除を行う必要がないようにします。保存期間の終了後に削除します。 | AWS Identity and Access Management (IAM) ユーザー、IAM ロール、または IAM グループに、システムやアセットへのアクセスを管理するインラインポリシーがないことを確認します。AWS では、インラインポリシーではなくマネージドポリシーを使用することをお勧めします。管理ポリシーにより、再利用性、バージョニング、ロールバック、権限管理の委任が可能になります。 | |
| C1.b Securing Logs | ログデータは安全に保管し、業務上必要なアカウントにのみ読み取り権限を付与します。従業員は、合意した保存期間中にログデータの修正や削除を行う必要がないようにします。保存期間の終了後に削除します。 | AWS Identity and Access Management (IAM) によって、ポリシーで「Resource」:「*」に対して「Action」:「*」が「Effect」:「Allow」にならないよう制限し、アクセス許可や認可に最小特権と職務分離の原則を組み込むことができます。タスク完了のために必要以上の権限をユーザーに付与することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| C1.b Securing Logs | ログデータは安全に保管し、業務上必要なアカウントにのみ読み取り権限を付与します。従業員は、合意した保存期間中にログデータの修正や削除を行う必要がないようにします。保存期間の終了後に削除します。 | AWS Identity and Access Management (IAM) は、ユーザーが少なくとも 1 つのグループのメンバーであることを確認して、アクセス許可と認可をコントロールします。タスク完了のために必要以上の権限をユーザーに許可することは、最小特権と職務の分離の原則に反する可能性があります。 | |
| C1.b Securing Logs | ログデータは安全に保管し、業務上必要なアカウントにのみ読み取り権限を付与します。従業員は、合意した保存期間中にログデータの修正や削除を行う必要がないようにします。保存期間の終了後に削除します。 | このルールにより、AWS Identity and Access Management (IAM) ポリシーがグループまたはロールのみにアタッチされ、システムとアセットへのアクセスがコントロールされるようになります。グループレベルまたはロールレベルで特権を割り当てると、ID が過剰な特権を受け取ったり保持したりする機会を減らすことができます。 | |
| C1.b Securing Logs | ログデータは安全に保管し、業務上必要なアカウントにのみ読み取り権限を付与します。従業員は、合意した保存期間中にログデータの修正や削除を行う必要がないようにします。保存期間の終了後に削除します。 | AWS Identity and Access Management (IAM) では、指定した期間に使用されていない IAM パスワードとアクセスキーをチェックすることにより、アクセスの許可と認証を行うことができます。これらの未使用の認証情報が特定された場合は、最小特権の原則に反する可能性があるため、その認証情報を無効にするか、削除する必要があります。このルールでは、maxCredentialUsageAge (Config デフォルト: 90) の値を設定する必要があります。実際の値には、組織のポリシーを反映する必要があります。 | |
| C1.b Securing Logs | ログデータは安全に保管し、業務上必要なアカウントにのみ読み取り権限を付与します。従業員は、合意した保存期間中にログデータの修正や削除を行う必要がないようにします。保存期間の終了後に削除します。 | Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | Amazon GuardDuty では、調査結果が重要度 (低、中、高) で分類されるため、インシデントによる影響を把握することができます。これらの分類を使用して、修復戦略と優先度を決定することができます。このルールでは、組織のポリシーで要求される場合に、アーカイブされていない結果に対して daysLowSev (Config デフォルト: 30)、daysMediumSev (Config デフォルト: 7)、daysHighSev (Config デフォルト: 1) を必要に応じて設定できます。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | Amazon CloudWatch アラームは、メトリクスが指定された評価期間数のしきい値を超えたときにアラームで警告します。アラームは、複数の期間にわたる閾値に対するメトリックまたはメートルの値に基づいて、1つまたは複数のアクションを実行します。このルールには、alarmActionRequired (Config デフォルト: True)、insufficientDataActionRequired (Config デフォルト: True)、okActionRequired (Config デフォルト: False) の値が必要です。実際の値には、環境に合わせたアラームのアクションを反映する必要があります。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | Amazon S3 イベント通知により、バケットオブジェクトに対する偶発的または意図的な変更について、関連する担当者に警告できます。アラートの例としては、新しいオブジェクトの作成、オブジェクトの削除、オブジェクトの復元、オブジェクトの紛失およびレプリケートなどが含まれます。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | AWS Security Hub は、権限のない人員、接続、デバイス、ソフトウェアのモニタリングに役立ちます。AWSSecurity Hub によって、複数の AWS のサービスからのセキュリティアラート (検出結果) が集計、整理、優先順位付けされます。対象のサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager、AWS パートナーソリューションなどがあります。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | API Gateway のログ記録では、API にアクセスしたユーザーと API にアクセスした方法に関する詳細ビューが表示されます。このインサイトにより、ユーザーアクティビティを可視化することができます。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | Amazon CloudWatch を使用して、イベントのアクティビティログを一元的に収集および管理します。AWS CloudTrail データを含めることで、お客様の AWS アカウント 内の API コールのアクティビティの詳細を提供します。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | Simple Storage Service (Amazon S3) のデータイベントを収集することで、異常性の高いアクティビティを検出できます。詳細には、Amazon S3 バケットにアクセスした AWS アカウント の情報、IP アドレス、イベント発生時刻が含まれます。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | このルールでは、複数の設定が有効になっていることをチェックすることで、AWS CloudTrail で AWS が推奨するセキュリティのベストプラクティスが使用されるようになります。これには、ログ暗号化の使用、ログ検証、複数のリージョンでの AWS CloudTrail の有効化が含まれます。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | トラブルシューティングとフォレンジック調査を実行するため、ロググループでイベントログデータの最小期間が保持されていることを確認します。利用可能な過去のイベントログデータを入手できない場合、悪意のあるイベントの再構築と特定が困難になります。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | Elastic Load Balancing でのアクティビティは、環境内の通信の中心となるポイントです。ELB ログ記録が有効になっていることを確認します。収集されたデータから、ELB に送信されるリクエストについての詳細情報が得られます。各ログには、リクエストを受け取った時刻、クライアントの IP アドレス、レイテンシー、リクエストのパス、サーバーレスポンスなどの情報が含まれます。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | 環境内でログ記録とモニタリングを行うため、Amazon Relational Database Service (Amazon RDS) でログ記録を有効にします。Amazon RDS のログ記録を使用すると、接続、切断、クエリ、クエリされたテーブルなどのイベントをキャプチャできます。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | 保管中のデータを保護するため、Amazon Redshift クラスターで暗号化が有効になっていることを確認します。また、必要な設定が Amazon Redshift クラスターにデプロイされていることを確認する必要があります。監査ログを有効にして、データベース内の接続とユーザーアクティビティに関する情報を提供します。このルールでは、clusterDbEncrypted (Config デフォルト: TRUE) と loggingEnabled (Config デフォルト:TRUE) の値が設定されている必要があります。実際の値には、組織のポリシーを反映する必要があります。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | Amazon Simple Storage Service (Amazon S3) サーバーアクセスのログ記録によって、ネットワークをモニタリングし、潜在的なサイバーセキュリティイベントに対応することができます。Amazon S3 バケットに対して行われたリクエストの詳細な記録をキャプチャすることで、イベントをモニタリングします。各アクセスのログレコードから、1 つのアクセスリクエストについての詳細情報を取得できます。詳細情報には、リクエスタ、バケット名、リクエスト時刻、リクエストアクション、レスポンスのステータス、エラーコード (該当する場合) などの情報が含まれます。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | VPC フローログでは、Amazon Virtual Private Cloud (Amazon VPC) 内のネットワークインターフェイス間で送受信される IP トラフィックに関する情報の詳細な記録を提供します。フローログレコードには、送信元、送信先、プロトコルなど、IP フローのさまざまなコンポーネントの値がデフォルトで含まれています。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | 環境内でログ記録とモニタリングを実行するには、リージョンおよびグローバルウェブ ACL で AWS WAF (V2) のログ記録を有効にします。 AWSWAF のログ記録によって、ウェブ ACL で分析されるトラフィックに関する詳細情報を取得できます。このログレコードには、AWS WAF が AWS リソースからリクエストを受信した時間、リクエストに関する情報、各リクエストが一致させるルールのアクションが含まれます。 | |
| C1.c Generating Alerts | モニタリングデータに含まれる潜在的なセキュリティインシデントの証拠を確実に特定し、アラートを発します。 | Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。 | |
| C1.d Identifying Security Incidents | 脅威やシステムに関する知識をもとにアラートの文脈を整理し、何らかの対応が必要なセキュリティインシデントを特定することができます。 | AWS Security Hub は、権限のない人員、接続、デバイス、ソフトウェアのモニタリングに役立ちます。AWSSecurity Hub によって、複数の AWS のサービスからのセキュリティアラート (検出結果) が集計、整理、優先順位付けされます。対象のサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager、AWS パートナーソリューションなどがあります。 | |
| C1.d Identifying Security Incidents | 脅威やシステムに関する知識をもとにアラートの文脈を整理し、何らかの対応が必要なセキュリティインシデントを特定することができます。 | Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。 | |
| C1.e Monitoring Tools and Skills | モニタリングスタッフのスキル、ツール、役割は、アウトソーシングされているものも含め、ガバナンスと報告要件、予想される脅威、使用する必要のあるネットワークやシステムデータの複雑さを反映したものにする必要があります。監視スタッフは、守るべき本質的な機能についての知識を備えています。 | Amazon GuardDuty では、調査結果が重要度 (低、中、高) で分類されるため、インシデントによる影響を把握することができます。これらの分類を使用して、修復戦略と優先度を決定することができます。このルールでは、組織のポリシーで要求される場合に、アーカイブされていない結果に対して daysLowSev (Config デフォルト: 30)、daysMediumSev (Config デフォルト: 7)、daysHighSev (Config デフォルト: 1) を必要に応じて設定できます。 | |
| C1.e Monitoring Tools and Skills | モニタリングスタッフのスキル、ツール、役割は、アウトソーシングされているものも含め、ガバナンスと報告要件、予想される脅威、使用する必要のあるネットワークやシステムデータの複雑さを反映したものにする必要があります。監視スタッフは、守るべき本質的な機能についての知識を備えています。 | AWS Security Hub は、権限のない人員、接続、デバイス、ソフトウェアのモニタリングに役立ちます。AWSSecurity Hub によって、複数の AWS のサービスからのセキュリティアラート (検出結果) が集計、整理、優先順位付けされます。対象のサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager、AWS パートナーソリューションなどがあります。 | |
| C1.e Monitoring Tools and Skills | モニタリングスタッフのスキル、ツール、役割は、アウトソーシングされているものも含め、ガバナンスと報告要件、予想される脅威、使用する必要のあるネットワークやシステムデータの複雑さを反映したものにする必要があります。監視スタッフは、守るべき本質的な機能についての知識を備えています。 | Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。 | |
| C2.a System Abnormalities for Attack Detection | システム動作の異常の例を定義することで、他の方法では特定が困難な悪意のある活動を検出する実用的な方法を提供します。 | AWS Security Hub は、権限のない人員、接続、デバイス、ソフトウェアのモニタリングに役立ちます。AWSSecurity Hub によって、複数の AWS のサービスからのセキュリティアラート (検出結果) が集計、整理、優先順位付けされます。対象のサービスには、Amazon Security Hub、Amazon Inspector、Amazon Macie、AWS Identity and Access Management (IAM) Access Analyzer、AWS Firewall Manager、AWS パートナーソリューションなどがあります。 | |
| C2.a System Abnormalities for Attack Detection | システム動作の異常の例を定義することで、他の方法では特定が困難な悪意のある活動を検出する実用的な方法を提供します。 | Amazon GuardDuty は、脅威インテリジェンスフィードを使用して、潜在的なサイバーセキュリティイベントをモニタリングして検出するのに役立ちます。これには、AWS クラウド環境内の予期しない未許可のアクティビティや悪意のあるアクティビティを識別するための、悪意のある IP と機械学習のリストが含まれます。 | |
| D1.c Testing and Exercising | 組織は、自分たちの組織や他の組織に影響を与えた過去の事件や、脅威情報とリスクアセスメントに基づくシナリオを使用して、対応計画をテストする演習を実施します。 | response-plan-exists-maintained (Process Check) | インシデント対応計画が確立および維持され、責任者に配布されていることを確認します。正式にドキュメント化された更新済みの対応計画を用意することで、対応する担当者がインシデントの発生中に従うべき役割、責任、プロセスを理解することができます。 |
| D1.c Testing and Exercising | 組織は、自分たちの組織や他の組織に影響を与えた過去の事件や、脅威情報とリスクアセスメントに基づくシナリオを使用して、対応計画をテストする演習を実施します。 | response-plan-tested (Process Check) | インシデント対応と復旧計画がテスト済みであることを確認します。これにより、インシデント発生時に計画が有効であるか、ギャップや更新に対処する必要があるかどうかを理解することができます。 |
テンプレート
テンプレートは、GitHub の「Operational Best Practices for NCSC Cyber Assesment Framework
