エージェントをプライベート VPC リソースに接続する

ペネトレーションテストを実行するアプリケーションがパブリックインターネットで利用できない場合は、AWS セキュリティエージェントに VPC 設定を提供する必要があります。AWS セキュリティエージェントは、VPC、サブネット、セキュリティグループを含むこの VPC 設定を使用してアプリケーションにアクセスします。

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
fd00::/8

AWS マネジメントコンソールから VPC への一般的なアクセス権を AWS セキュリティエージェントに付与します。Security Agent ウェブアプリで、ユーザーは侵入テストの特定の設定を選択します。

エージェントスペースに VPC を追加するには

最大 5 つの VPCs を追加できます。

必要なエージェントスペースサービスロールのアクセス許可

VPC で侵入テストを実行するには、エージェントスペースサービスロールに次のアクセス許可が含まれている必要があります。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateNetworkInterface",
        "ec2:DescribeDhcpOptions",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeNetworkInterfaceAttribute",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeVpcs",
        "ec2:ModifyNetworkInterfaceAttribute",
        "ec2:DeleteNetworkInterface"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": "ec2:CreateNetworkInterfacePermission",
      "Resource": "arn:aws:ec2:{{region}}:{{accountId}}:network-interface/*",
      "Condition": {
        "ArnEquals": {
          "ec2:Subnet": [
            "arn:aws:ec2:{{region}}:{{accountId}}:subnet/[[subnetIds]]"
          ]
        }
      }
    }
  ]
}

Security Agent ウェブアプリで侵入テストの特定の VPC 設定を選択するには

別の AWS アカウントの VPC リソースに対するペネトレーションテストの実行

AWS Resource Access Manager を使用して、アカウントと共有されている VPC リソースに対してペネトレーションテストを実行できます。両方のアカウントは同じ AWS Organization の一部である必要があります。

aws ram enable-sharing-with-aws-organization

aws ram create-resource-share \
    --name SharePentestResources \
    --resource-arns <subnet ARN> <security group ARN> \
    --principals <penetration test owner account ID>