c2.4 資産の棚卸しと構成変更の監視
各アカウントで何が動いているかを少なくとも概要レベルで把握し、AWS Config で構成変更を追跡して、セキュリティのベースラインからの逸脱を検知・是正します。
実装ガイダンス
何を動かしているかを把握する
資産インベントリを維持します。各アカウントにどのアプリケーションがあり、どの業務プロセスを支え、どのリソースタイプを使うべきで、どのセキュリティ構成を強制すべきかを記録します。インベントリがあると統制を適用しやすく、攻撃者が作成した不正なリソースの発見にも役立ちます。
AWS Config で逸脱を追跡する
AWS Config はリソースの構成変更を記録し、非準拠の構成を検知・通知・是正できます。たとえばインターネットに開放された SSH や RDP ポートを検出します。是正は AWS Systems Manager Automation のランブックで自動実行し、リソースを修正またはロールバックできます。
Config は他サービスの前提
AWS Security Hub CSPM のセキュリティ標準は AWS Config が有効であることを前提とします。検出結果を正確にするには、コントロールが確認するリソースを各リージョンで Config が記録している必要があります。AWS Firewall Manager も Config を必要とします。AWS Control Tower を使う場合、登録済みアカウントで Config は自動的に有効化されます。
How to validate
- 資産インベントリはありますか（できれば重要度・関連する業務プロセス・アカウントを含めて）？
- AWS Config は組織全体で有効ですか（Control Tower を使う場合は自動的に有効化されます）？
- チームは AWS Config を使って「何がいつ変わったか」を確認できるよう訓練されていますか（インシデント対応で重要です）？
Threats addressed
- インベントリがないと、統制を一貫して適用することや、攻撃者が作成した不正なリソースを見つけることが難しくなります。
- 追跡されていない構成の逸脱により、リソースが気づかれないままセキュリティのベースラインから外れてしまいます。
AWS サービス
AWS Config 
AWS Systems Manager 
AWS Security Hub 料金
AWS Config は記録した構成項目数とルール評価数に応じて課金されます。AWS Config の料金を参照してください。