AWS4 択難易度 標準

最初に見るべきものは？

正答

1. CloudTrail のイベント履歴で AuthorizeSecurityGroupIngress
2. VPC フローログで、22 番ポートに来た通信の送信元 IP アドレス
3. EC2 の /var/log/secure に残った SSH のログイン履歴と接続元
4. CloudWatch のメトリクスで、SG のルールが変更された回数と時刻

解説

SG のルール追加は AuthorizeSecurityGroupIngress という API 呼び出し（管理イベント）で、CloudTrail が記録する。証跡を作っていなくても、イベント履歴で過去 90 日分の管理イベントをリージョンごとに検索でき、誰が（ユーザーやロール）、いつ、どこから実行したかが分かる。フローログは通信の記録で、ルールを変えた人は分からない。/var/log/secure は OS へのログインの記録で、SG の変更は残らない。CloudWatch に SG の変更回数という標準のメトリクスは無い。意図しない全開放であれば、調査と並行して、影響を止める対応を優先して判断する。

参考: docs.aws.amazon.com

cloudtrailsecurity-groupaudit