cdk-nagを使用したAWS CDKのセキュリティチェック ～独自ルール作成～

こんにちは、上野です。

前回の続きです。前回はcdk-nagの基本的な使い方を紹介しました。

AWS Solutionsのルール群を見て思ったのは、少し厳しすぎる内容も多いかも？という点です。特に既存環境にcdk-nagを導入した場合、多くのErrorを検知するかもしれません。多くのErrorを検知するとその抑制対応に時間も取られることになり、抑制分のコード量も増えてしまいます。

そこで今回は、任意のルールをピックアップしてオリジナルのルール群を作成する方法を試してみます。

独自のルール群を作成する

cdk-nagが提供しているルール群は、NagPackという仕組みが使われており、同じ仕組みを使用して独自のルール群を作成できます。GithubのNagPack.mdでも紹介されています。

前回とは異なる新規CDKアプリケーションを作成します。cdk-nagもinstallしておきます。

$ mkdir cdk-nag-myrule && cd cdk-nag-myrule
$ cdk init app --language typescript
$ npm install cdk-nag

独自ルールを作成してきます。 今回は私の独断で以下のルールをピックアップしてみました。ルールの一覧はGithubのrulesで確認できます。

ルール名	概要
EC2RestrictedInbound	Security Groupの公開禁止
S3BucketPublicWriteProhibited	S3バケットの書き込み公開禁止
RDSInstancePublicAccess	RDSのパブリックインスタンス禁止
ECROpenAccess	ECRリポジトリの公開禁止
S3BucketServerSideEncryptionEnabled	S3のデフォルト暗号化チェック
EC2EBSVolumeEncrypted	EBSのデフォルト暗号化チェック
RDSStorageEncrypted	RDSストレージのデフォルト暗号化チェック
VPCFlowLogsEnabled	VPC Flow Logs有効チェック
CloudFrontDistributionAccessLogging	CloudFrontアクセスログ有効チェック
ELBLoggingEnabled	ELBのログ有効チェック
IAMNoWildcardPermissions	IAMポリシーのワイルドカード禁止

実装していきます。bin 配下にmyrule-checks.tsというファイルを新規作成します。 ファイル内容は以下のとおりです。infoやexplainなどの表示文言は、AWS Solutionsの内容を参考にしました。
※長いので初期表示は折りたたんでいます。

▶ソースコードを表示

import { CfnResource } from 'aws-cdk-lib';
import { IConstruct } from 'constructs';
import {
    NagMessageLevel,
    NagPack,
    NagPackProps,
    rules,
  } from 'cdk-nag';

export class MyruleChecks extends NagPack {
  constructor(props?: NagPackProps) {
    super(props);
    this.packName = 'Myrule';
  }
  public visit(node: IConstruct): void {
    if (node instanceof CfnResource) {
        
        // Security Groupの公開禁止
        this.applyRule({
            info: 'The Security Group allows for 0.0.0.0/0 or ::/0 inbound access.',
            explanation:
              'Large port ranges, when open, expose instances to unwanted attacks. More than that, they make traceability of vulnerabilities very difficult. For instance, your web servers may only require 80 and 443 ports to be open, but not all. One of the most common mistakes observed is when  all ports for 0.0.0.0/0 range are open in a rush to access the instance. EC2 instances must expose only to those ports enabled on the corresponding security group level.',      
            level: NagMessageLevel.ERROR,
            rule: rules.ec2.EC2RestrictedInbound,
            node: node,
        });

        // S3バケットの書き込み公開禁止
        this.applyRule({
            info: 'The S3 Bucket does not have public write access restricted and blocked.',
            explanation:
              'The bucket should have public write access restricted and blocked to prevent unauthorized access.',
            level: NagMessageLevel.ERROR,
            rule: rules.s3.S3BucketPublicWriteProhibited,
            node: node,
        });

        // RDSのパブリックインスタンス禁止
        this.applyRule({
            info: 'The RDS instance does not have public access restricted.',
            explanation:
              'The RDS instance should have public access restricted to prevent unauthorized access.',
            level: NagMessageLevel.ERROR,
            rule: rules.rds.RDSInstancePublicAccess,
            node: node,
        });        

        // ECRリポジトリの公開禁止
        this.applyRule({
            info: 'The ECR Repository allows open access.',
            explanation:
              'Removing * principals in an ECR Repository helps protect against unauthorized access.',
            level: NagMessageLevel.ERROR,
            rule: rules.ecr.ECROpenAccess,
            node: node,
        });

        // S3のデフォルト暗号化チェック
        this.applyRule({
            info: 'The S3 Bucket does not default encryption enabled.',
            explanation:
              'The bucket should minimally have SSE enabled to help protect data-at-rest.',
            level: NagMessageLevel.ERROR,
            rule: rules.s3.S3BucketServerSideEncryptionEnabled,
            node: node,
        });

        // EBSのデフォルト暗号化チェック
        this.applyRule({
            info: 'The EBS volume has encryption disabled.',
            explanation:
              "With EBS encryption, you aren't required to build, maintain, and secure your own key management infrastructure. EBS encryption uses KMS keys when creating encrypted volumes and snapshots. This helps protect data at rest.",
            level: NagMessageLevel.ERROR,
            rule: rules.ec2.EC2EBSVolumeEncrypted,
            node: node,
        });

        // RDSストレージのデフォルト暗号化チェック
        this.applyRule({
            info: 'The RDS instance or Aurora DB cluster does not have storage encryption enabled.',
            explanation:
              'Storage encryption helps protect data-at-rest by encrypting the underlying storage, automated backups, read replicas, and snapshots for the database.',
            level: NagMessageLevel.ERROR,
            rule: rules.rds.RDSStorageEncrypted,
            node: node,
        });

        // VPC Flow Logs有効チェック
        this.applyRule({
            info: 'The VPC does not have an associated Flow Log.',
            explanation:
              'VPC Flow Logs capture network flow information for a VPC, subnet, or network interface and stores it in Amazon CloudWatch Logs. Flow log data can help customers troubleshoot network issues; for example, to diagnose why specific traffic is not reaching an instance, which might be a result of overly restrictive security group rules.',
            level: NagMessageLevel.ERROR,
            rule: rules.vpc.VPCFlowLogsEnabled,
            node: node,
        });

        // CloudFrontアクセスログ有効チェック
        this.applyRule({
            info: 'The CloudFront distribution does not have access logging enabled.',
            explanation:
              'Enabling access logs helps operators track all viewer requests for the content delivered through the Content Delivery Network.',
            level: NagMessageLevel.ERROR,
            rule: rules.cloudfront.CloudFrontDistributionAccessLogging,
            node: node,
        });

        // ELBのログ有効チェック
        this.applyRule({
            info: 'The ELB does not have access logs enabled.',
            explanation:
              'Access logs allow operators to to analyze traffic patterns and identify and troubleshoot security issues.',
            level: NagMessageLevel.ERROR,
            rule: rules.elb.ELBLoggingEnabled,
            node: node,
          });

        // IAMポリシーのワイルドカード禁止
        this.applyRule({
            info: 'The IAM entity contains wildcard permissions and does not have a cdk-nag rule suppression with evidence for those permission.',
            explanation:
              'Metadata explaining the evidence (e.g. via supporting links) for wildcard permissions allows for transparency to operators. ' +
              "This is a granular rule that returns individual findings that can be suppressed with 'appliesTo'. The findings are in the format 'Action::<action>' for policy actions and 'Resource::<resource>' for resources. Example: appliesTo: ['Action::s3:*'].",
            level: NagMessageLevel.ERROR,
            rule: rules.iam.IAMNoWildcardPermissions,
            node: node,
        });

    }
  }
}

作成したルールがチェックされるよう、bin/cdk-nag-myrule.tsに以下のように追加しておきます。

#!/usr/bin/env node
import 'source-map-support/register';
import * as cdk from 'aws-cdk-lib';
import { CdkNagMyruleStack } from '../lib/cdk-nag-myrule-stack';
import { MyruleChecks } from './myrule-checks' //追加

const app = new cdk.App();
new CdkNagMyruleStack(app, 'CdkNagMyruleStack', {});
cdk.Aspects.of(app).add(new MyruleChecks()); //追加

この状態で、lib/cdk-nag-myrule-stack.tsにリソースを定義していきます。

import { Size, Stack, StackProps } from 'aws-cdk-lib';
import { Construct } from 'constructs';
import * as ec2 from 'aws-cdk-lib/aws-ec2';
import * as iam from 'aws-cdk-lib/aws-iam';
import * as s3  from 'aws-cdk-lib/aws-s3'

export class CdkNagMyruleStack extends Stack {
  constructor(scope: Construct, id: string, props?: StackProps) {
    super(scope, id, props);

    const vpc = new ec2.Vpc(this, 'vpc', {
      natGateways: 0,
      subnetConfiguration: [
        {
          cidrMask: 24,
          name: 'public',
          subnetType: ec2.SubnetType.PUBLIC,
        },
      ]
    })

    const securityGroup = new ec2.SecurityGroup(this, 'securityGroup', {
      vpc,
      allowAllOutbound: true,
    })
    securityGroup.addIngressRule(ec2.Peer.anyIpv4(), ec2.Port.tcp(22), 'SSH Open!!')

    const role = new iam.Role(this, 'role', {
      assumedBy: new iam.ServicePrincipal('ec2.amazonaws.com')
    })
    role.addManagedPolicy(iam.ManagedPolicy.fromAwsManagedPolicyName('AmazonSSMManagedInstanceCore'))
    role.addToPolicy(
      new iam.PolicyStatement({
        actions: ['s3:*'],
        resources:['*'],
    }))

    const instance = new ec2.Instance(this, 'instance', {
      vpc,
      instanceType: ec2.InstanceType.of(ec2.InstanceClass.T4G, ec2.InstanceSize.MICRO),
      machineImage: new ec2.AmazonLinuxImage({
        generation: ec2.AmazonLinuxGeneration.AMAZON_LINUX_2,
        cpuType: ec2.AmazonLinuxCpuType.ARM_64,
      }),
      role: role,
    })

    const bucket = new s3.Bucket(this, 'bucket')

  }
}

構成は以下の通りです。すべてのルールを検知させるわけではないですが、VPCがFlow Logs無し、SGがSSH公開、バケットが暗号化無し、IAMロールがs3:*という強い権限を持つ、といったいくつかルール違反の設定があります。

この状態でcdk deploy (もしくはcdk synth)を実行すると、以下のように検知します。

[Error at /CdkNagMyruleStack/vpc/Resource] Myrule-VPCFlowLogsEnabled: The VPC does not have an associated Flow Log.

[Error at /CdkNagMyruleStack/securityGroup/Resource] Myrule-EC2RestrictedInbound: The Security Group allows for 0.0.0.0/0 or ::/0 inbound access.

[Error at /CdkNagMyruleStack/role/DefaultPolicy/Resource] Myrule-IAMNoWildcardPermissions[Action::s3:*]: The IAM entity contains wildcard permissions and does not have a cdk-nag rule suppression with evidence for those permission.

[Error at /CdkNagMyruleStack/role/DefaultPolicy/Resource] Myrule-IAMNoWildcardPermissions[Resource::*]: The IAM entity contains wildcard permissions and does not have a cdk-nag rule suppression with evidence for those permission.

[Error at /CdkNagMyruleStack/bucket/Resource] Myrule-S3BucketPublicWriteProhibited: The S3 Bucket does not have public write access restricted and blocked.

[Error at /CdkNagMyruleStack/bucket/Resource] Myrule-S3BucketServerSideEncryptionEnabled: The S3 Bucket does not default encryption enabled.


Found errors

自分が選んで設定したルールだけ検知できました。意図的な設定でエラーを消したい場合は抑制(Suppressing)すればOKです。詳細は前回の記事に書いています。

ここでやってみて気づいたのですが、「EBSのデフォルト暗号化チェック」がEC2インスタンスに対してできていません。EBS Volumeを個別に定義した場合に、暗号化オプションをチェックする仕組みになっており、EC2インスタンスの定義として設定されたEBSボリュームはチェックされませんでした。（＝暗号化無しでもErrorにならない）

ということでこの部分について独自のルールを作成してみます。

独自ルールを作成する

先ほどのコードでは、rulesから好きなものを選んで書いた程度でした。

NagPackと既存のルールの書き方を参考に、独自ルールを追加します。

bin/myrule-checks.tsに書いていきます。

まず上部に以下のように追加します。

import { CfnResource, Stack } from 'aws-cdk-lib';
import { IConstruct } from 'constructs';
import {
    NagMessageLevel,
    NagPack,
    NagPackProps,
    NagRuleCompliance, //追加
    NagRuleResult, //追加
    NagRules, //追加
    rules,
  } from 'cdk-nag';
import { CfnInstance } from 'aws-cdk-lib/aws-ec2'; //追加

既存のルールをたくさん書いているところに、1つルールを以下のように追加します。

        //独自ルール EBS暗号化チェック
        this.applyRule({
          ruleSuffixOverride: 'EBSVolumeEncryptedWithEC2',
          info: 'The EBS volume with the instance has encryption disabled.',
          explanation:
            "EBS encryption uses KMS keys when creating encrypted volumes and snapshots. This helps protect data at rest.",
          level: NagMessageLevel.ERROR,
          rule: function (node2: CfnResource): NagRuleResult {
            if (node2 instanceof CfnInstance) {
              const blockDevices = Stack.of(node2).resolve(node2.blockDeviceMappings);
              if (blockDevices != undefined) {
                //Iterate through blockDevices checking if encryption is not enabled
                for (const blockDevice of blockDevices) {
                  const resolvedDevice = Stack.of(node).resolve(blockDevice);
                  const encryption = NagRules.resolveIfPrimitive(
                    node,
                    resolvedDevice.ebs.encrypted
                  );
                  if (encryption != true) {
                    return NagRuleCompliance.NON_COMPLIANT;
                  }
                }
                return NagRuleCompliance.COMPLIANT;
              }
              return NagRuleCompliance.NON_COMPLIANT;
            } else {
              return NagRuleCompliance.NOT_APPLICABLE;
            }
          },
          node: node,
        }); 

※あくまでサンプルとして参考程度に書いているコードです。動作を保証するものではないのでご認識ください。

中身としては、EC2内で定義されたブロックデバイス一覧にそれぞれ暗号化設定(encrypted)が入っているか確認し、入ってないものが1つでもあればNON_COMPLIANTになるようにしています。

この状態で、再度cdk deployを実行してみます。すると先ほどは無かったEBS暗号化が無効になっている旨のメッセージが表示されます。（他のメッセージは省略）

[Error at /CdkNagMyruleStack/instance/Resource] Myrule-EBSVolumeEncryptedWithEC2: The EBS volume with the instance has encryption disabled.

以下のようにEC2の定義にblockDevicesおよびencrypted: trueを定義して意図的に暗号化設定すればエラーは解消します。

    const instance = new ec2.Instance(this, 'instance', {
      vpc,
      instanceType: ec2.InstanceType.of(ec2.InstanceClass.T4G, ec2.InstanceSize.MICRO),
      machineImage: new ec2.AmazonLinuxImage({
        generation: ec2.AmazonLinuxGeneration.AMAZON_LINUX_2,
        cpuType: ec2.AmazonLinuxCpuType.ARM_64,
      }),
      role: role,
      blockDevices: [
        {
          deviceName: '/dev/xvda',
          mappingEnabled: true,
          volume: ec2.BlockDeviceVolume.ebs(30, {
            deleteOnTermination: true,
            volumeType: ec2.EbsDeviceVolumeType.GP2,
            encrypted: true,
          })
        },
      ],
    })

独自ルールの検証は以上です。

まとめ

独自のルール群と、ルールそのものも独自で作成してみました。ここまで自由度が高ければ、ワークロードごとの独自のルールや設計チェックに活用できそうです。独自ルールについては、あまり作りこみすぎても管理が大変なので、基本は用意されているルールを使えば良いかなと思いました。必要最低限のルールから始めて、導入すすめていきたいですね。

執筆者上野史瑛

Japan APN Ambassador
AWSを中心としたクラウドの導入、最適化を専門に行っています。