c4.10 抽象化された（サーバーレス）サービスを優先する
AWS はマネージド／サーバーレスサービスを高度な自動化で管理するため、パッチ適用を忘れたり、自己管理インフラを悩ませる一貫性のない人的ミスを犯したりしません。抽象化サービスを優先すると、運用作業と攻撃対象領域の両方が減ります。
実装ガイダンス
AWS に責任のより多くを担わせる
マネージド／サーバーレス（抽象化）サービスは、責任共有モデルのより多くを AWS に移します。AWS は自動化でパッチ適用と運用を行い、自己管理インフラを悩ませるパッチ漏れや、一貫性がなく誤りが生じやすい手作業を避けます。
成熟したチームがサーバーレスを既定にする理由
有資格のセキュリティ専門家は、多くのチームで最も希少な資源です。実務的な範囲で抽象化サービスを選ぶと:
- 基盤となるサーバーとその保守が手離れし、
- ハードニング・パッチ・監視すべき攻撃対象領域が縮小し、
- 専門家が、差別化につながらないインフラ運用の労苦ではなく、より価値の高い作業に集中できます。
インフラストラクチャサービス（EC2 など）を引き続き運用する場合は、これまでの統制が当てはまります。OS ハードニング、パッチ適用、アンチマルウェア/EDR、ゴールデンイメージのパイプラインです。
How to validate
- 実務的な範囲で、自己管理インフラよりマネージド／サーバーレスサービスを優先していますか？
- 引き続き運用するインフラストラクチャサービスについて、ハードニング・パッチ・エンドポイント保護が整っていますか？
- 適したワークロードを抽象化サービスへ移すことで、攻撃対象領域と運用の労苦を減らしましたか？
Threats addressed
- 自己管理インフラは攻撃対象領域が大きく、一貫したパッチ適用と設定を人に依存します。パッチ漏れや誤設定は一般的な侵入口であり、マネージド／サーバーレスサービスはこれを大幅に取り除きます。