クイックウィンセキュリティガバナンス

c1.2 リージョンを選び、それ以外をブロックする

運用する AWS リージョンを決め、それ以外をすべてのアカウントでブロックします(Service Control Policies、または AWS Control Tower のリージョン拒否コントロール)。攻撃対象領域を縮小し、コストを抑えます。

実装ガイダンス

リソースを作成できる場所を制限する

組織が使うリージョンを選び、それ以外を拒否します。AWS Organizations の Service Control Policies ですべてのアカウントに適用するか、AWS Control Tower を使う場合はランディングゾーンのリージョン拒否コントロールで適用します。

これは基礎的なガードレールです。攻撃対象領域を縮小し(攻撃者は監視されていない未使用リージョンで暗号資産のマイニングやボットネット用のリソースを立ち上げがちです)、データを承認済みの管轄内に保ち、監視すべき範囲を減らします。SCP の位置づけは関連するガードレールのコントロールを参照してください。

リージョン拒否 SCP の例

このポリシーは、承認済みリージョン以外のアクションを拒否しつつ、特定のリージョン経由で動作するグローバルサービスは許可します。許可リージョンを調整して OU にアタッチしてください(まず非本番でテスト):

{
  "Version": "2012-10-17",
  "Statement": [{
    "Sid": "DenyOutsideApprovedRegions",
    "Effect": "Deny",
    "NotAction": [
      "iam:*", "cloudfront:*", "route53:*",
      "organizations:*", "sts:*", "support:*"
    ],
    "Resource": "*",
    "Condition": {
      "StringNotEquals": {
        "aws:RequestedRegion": ["us-east-1", "eu-west-1"]
      }
    }
  }]
}

注意

一部のグローバルサービス(IAM、CloudFront、Route 53 など)は特定のリージョン経由で動作するため、ポリシーで許可する必要があります。過度に広い拒否は正当な操作をブロックし得るため、リージョン拒否 SCP はまず非本番の OU でテストしてください。

How to validate

組織はどのリージョンで運用するかを定義していますか?
ポリシーで禁止しているリージョンにワークロードがありませんか?
禁止リージョンは文書化だけでなく、実際に(SCP または Control Tower で)ブロックされていますか?

Threats addressed

未使用のリージョンは死角です。攻撃者は誰も見ていないからこそ、そこにリソース(暗号資産マイニング、ボットネット)を作成します。未使用リージョンをブロックすればその機会を排除し、関連コストも抑えられます。

AWS サービス

AWS Organizations

AWS Control Tower

料金

AWS Organizations と SCP は無料です。AWS Control Tower に追加料金はなく、有効化するサービス(AWS Config など)の料金のみ発生します。Control Tower の料金を参照してください。

Framework mappings

AWS CAF

caf-security-governance Security governance