インフラストラクチャの保護

ソフトウェア開発ライフサイクル (SDLC) 環境間でリソースの分離を維持することで、本稼働環境での不正行為や事故の可能性を減らすことができます。これは、クレジットカード業界のデータセキュリティ基準 (PCI DSS) の対象となる金融機関を含め、すべての金融機関にとって重要なガイダンスです。

マルチアカウント戦略を持つ

別個の VPC にデプロイすることで環境を分離することができますが、別個の AWS アカウントにデプロイすると、最高レベルの分離を実現できます。AWS は、複雑さを処理するためのマルチアカウント戦略に関するパターンを提供します。お客様は、SDLC のステージに基づいて個別のアカウントを作成し、このマルチアカウント戦略を通じてセキュリティおよびインフラストラクチャポリシーを適用することを選択できます。この戦略は、設計による AWS のセキュリティ (SbD) の原則に基づいています。この原則は、AWS アカウントの設計を形式化し、セキュリティコントロールを自動化し、監査を効率化するセキュリティ保証アプローチです。詳細については、AWS マルチアカウント戦略の動画を参照してください。

IAM の分離を実装

さまざまな SDLC 環境専用にさまざまなアカウントを持つことで、IAM での特権の管理を自然に分離できます。AWS Organizations は、アカウント階層の管理を容易にします。サービスコントロールポリシー (SCP) を定義して、ユーザーがこれらのアカウント内で実行できるアクションを制限します。たとえば、本番環境で CloudTrail ロギングへの変更を防止したり、VPC でインターネットゲートウェイが設定されないようにしたり、AWS Config 追跡の変更を防止したりできます。

ネットワークの分離を実施

IAM の分離に加えて、本番環境と非本番環境の間でリソースを明確に分離します。異なるアカウントを使用することで、AWS で可能な限り最高の分離形式を構築できます。ただし、特にロギングやセキュリティサービスなどの共有サービスにアクセスする場合は、アカウントを超えてリソースにアクセスできる必要がある場合があります。VPC ピアリングは、追加のゲートウェイや VPN 接続を必要とせずに、2 つの VPC (同じアカウントまたは異なるアカウント) にあるリソースを接続し、ピアリングされたすべてのネットワークを相互に認識できるようにします。これには、2 つの VPC 間で完全なネットワーク信頼が必要であり、ユースケースに応じてより適切な代替手段が存在します。他の VPC にある少数のサービスにアクセスすることだけが目的である場合は、AWS PrivateLink を使用します。AWS PrivateLink は、VPN なしで内部ネットワークを介した接続を提供し、ネットワークの露出を制限します。サービス発行者は、これらのエンドポイントを使用できる IAM の原則を指定し、許可されるアクションを指定する IAM リソースポリシーをアタッチする必要もあります。より広範な VPC をまたぐアクセスが必要な場合は、AWS Transit Gateway を使用して分離とプライベート接続を確立することも可能です。

金融機関は、アプリケーションをクラウドにデプロイする際に、Virtual Private Cloud (VPC) を活用して、組織のニーズに合わせてパブリッククラウドの分離されたプライベート部分を全体から取り除くことができます。最もセキュリティに敏感なお客様は、可能な限りトラフィックがプライベートであり、AWS インフラストラクチャを離れないことを要求しています。

VPC エンドポイントを使用してトラフィックをプライベートに保つ

VPC エンドポイントを使用して、必ずトラフィックが AWS インフラストラクチャ内で行われるようにします。VPC エンドポイントは、VPC 内のリソースとサポートされている AWS のサービスの間でのプライベート接続を許可します。VPC エンドポイントを使用すると、データをプライベートに保つことができ、トラフィックがインターネット経由でルーティングされないため、レイテンシーが低くなります。

リソースポリシーを使用して、VPC エンドポイントを介したアクセスのみを許可

エンドポイントを作成する際に、エンドポイントを使用して AWS リソースへのアクセスをコントロールするポリシーをアタッチできます。たとえば、Amazon API Gateway エンドポイントにエンドポイントポリシーをアタッチすることによって、特定の API へのアクセスを制限します。リソースベースのポリシーに加えて、指定された AWS リソースがエンドポイントを介してのみアクセスされるようにすることもできます。たとえば、エンドポイントを介してのみ S3 バケットへのアクセスを許可するには、トラフィックが VPC から来ていない場合に、リソースへの拒否アクションを含むバケットポリシーを使用します。この条件を指定するには、VPC ID を持つ AWS:sourceVpce 条件を使用します。こうすることで、バケットへのアクセスが強制的にプライベートになり、インターネットを経由せずにエンドポイントのみを通過します。

図 7: サブネット 2 のインスタンスは、ゲートウェイエンドポイントを介してのみ Amazon S3 にアクセスできる

制限的セキュリティグループを使用して、プライベートサブネット内のデータベースを保護

金融サービスの顧客がファイアウォールの背後に設定したものと同様に、データベース、ストレージシステム、ボリュームをプライベートサブネットにロックダウンします (データセンターにパブリックアクセスはありません)。データベースへのアクセスは、ネットワークセキュリティグループを使用する特定のポートでデータベースを使用しているアプリケーションレイヤーに制限する必要があります。

予想されるトラフィックと予期しないトラフィックのネットワークトラフィックを監視して、不規則性を特定し、システムのセキュリティに関する重要な洞察を得ます。たとえば、パフォーマンスの低いネットワークは、そのネットワークが攻撃を受けていることを示している可能性があり、予期しない外部システムへの不規則な接続の試みは、内部ホストが侵害されていることを示している可能性があります。