AWSセキュリティグループのテスト・監査方法を徹底解説！基本の仕組みからトラブルシューティングまで

AWSセキュリティグループのテストと監査：基本から実践まで

EC2インスタンスを安全に運用するうえで、セキュリティグループの適切な設定・テスト・監査は欠かせません。この記事では、AWSセキュリティグループの仕組み、テスト方法、監査手順、ネットワークトラブルシューティングなど、よくある疑問をQ&A形式でわかりやすく解説します。

AWSセキュリティグループを監査するには？

ポリシー作成画面で「Create policy（ポリシーの作成）」を選択したら、まずポリシーをデプロイする正しいAWSリージョンを指定します。ポリシータイプとして「Security group（セキュリティグループ）」を選択すると、「Auditing and enforcement of security group rules（セキュリティグループルールの監査と適用）」オプションが表示されます。リージョンが正しいことを確認したら「Next（次へ）」をクリックして進みましょう。

AWSセキュリティグループはどのように機能する？

セキュリティグループは、EC2インスタンスとの間でやり取りされるデータの流れを制御するための仕組みです。インスタンスに入ってくる通信は「インバウンドルール」で、出ていく通信は「アウトバウンドルール」でそれぞれ制御されます。セキュリティグループは、インスタンスの起動時に指定することが可能です。

AWSでセキュリティグループを作成したのは誰か調べるには？

CloudTrailコンソールを開き、ダッシュボードから「イベント履歴（Event history）」を選択します。ドロップダウンメニューから「リソース名（Resource name）」を選び、フィールド名欄に対象のリソース名を入力して検索します。これにより、誰がいつそのセキュリティグループを作成・変更したのかを追跡できます。

AWSのネットワーク問題を確認するには？

LinuxやUbuntu環境では、次のコマンドでtracerouteをインストールします。
sudo yum install traceroute
その後、以下のコマンドでAmazon EC2インスタンスやオンプレミスホストへの経路を調査できます。
・ICMPベースのtraceroute：sudo traceroute ＜EC2インスタンスのパブリックIP＞
・TCPベースのtracerouteも利用可能です。
出力結果を確認し、遅延やパケットロスが発生している箇所を特定しましょう。

自分のAWSセキュリティグループをテストするには？

ナビゲーションペインから「Security Groups（セキュリティグループ）」を選択し、対象のセキュリティグループを選びます。「Inbound rules（インバウンドルール）」または「Outbound rules（アウトバウンドルール）」タブで対象ルールのチェックボックスを選択し、「Manage tags（タグの管理）」タブを開くと、ルールに割り当てられたタグを確認・編集できます。タグを活用することで、ルール管理や監査作業が大幅に効率化されます。

AWSセキュリティグループにIPアドレスを追加するには？

「Add rule（ルールの追加）」をクリックして新しいルールを作成します。タイプは「SSH」を選択します。ソース（Source）欄で「My IP」を選択すると、ローカルコンピュータのパブリックIPv4アドレスが自動入力されます。設定内容を確認したら「Save rules（ルールの保存）」を選択して完了です。

AWSで未使用のセキュリティグループを見つけるには？

EC2コンソールのセキュリティグループメニューを開き、各セキュリティグループを選択してアクションを実行し、不要なものを特定します。未使用のセキュリティグループをすべて洗い出したら、一括削除操作をキャンセルし、個別に削除していくのが安全です。定期的なクリーンアップにより、管理コストの削減とセキュリティリスクの低減につながります。

セキュリティグループが使用中かどうか確認するには？

Amazon EC2コンソールを開き、ナビゲーションペインから「Security Groups」を選択します。調査したいセキュリティグループのグループIDをコピーします。次にナビゲーションペインで「Network Interfaces（ネットワークインターフェイス）」に切り替え、検索ボックスにグループIDを貼り付けて検索します。検索結果を確認することで、そのセキュリティグループがどのリソースに関連付けられているかを把握できます。

AWSは監査できるのか？

金融や医療といった高度に規制された業界の多くのAWS顧客は、定期的にセキュリティ監査を受ける必要があります。AWSは監査人向けのラーニングパスを提供しており、より生産的で効率的な監査の実施をサポートしています。

セキュリティグループの仕組みとは？

セキュリティグループは仮想ファイアウォールとして機能し、インスタンスに出入りするすべてのトラフィックを制御します。各セキュリティグループには、インスタンスへのインバウンドトラフィックを制御するルールと、インスタンスからのアウトバウンドトラフィックを制御するルールがそれぞれ設定されています。

どのAWSサービスがセキュリティグループを使用する？

セキュリティグループはEC2以外にも幅広いサービスで利用されています。主な例は以下のとおりです。
・Amazon RDS（Relational Database Service）
・Amazon Redshift
・Amazon ElastiCache
・Amazon CloudSearch

AWSにおけるセキュリティグループルールとは？

セキュリティグループのルールにより、プロトコルやポート番号に基づいてトラフィックをフィルタリングできます。また、セキュリティグループはステートフルに動作するため、インバウンドルールに関係なく、インスタンスからのリクエストおよびその応答トラフィックは自動的に送信できます。

自分のセキュリティグループ一覧を確認するには？

AWS Management Consoleにログインし、https://console.aws.amazon.com/ec2/ からAmazon EC2コンソールにアクセスします。ナビゲーションペインで「Security Groups」を選択すると、利用可能なセキュリティグループの一覧が表示されます。

セキュリティグループ作成時にAWSが担う役割とは？

セキュリティグループは、EC2インスタンスとの間でやり取りされるデータの流れを制御するために必要です。インスタンスに入ってくる通信はインバウンドルールで、出ていく通信はアウトバウンドルールで制御されます。セキュリティグループを指定しなかった場合、Amazon EC2はデフォルトのセキュリティグループを自動的に適用します。

AWSセキュリティグループはどこで使われる？

セキュリティグループは、EC2-ClassicインスタンスまたはVPC内のインスタンスを保護するために使用されます。Amazon EC2セキュリティグループの詳細については「Amazon Elastic Compute Cloudユーザーガイド」を、VPCセキュリティグループについては「Amazon Virtual Private Cloudユーザーガイド」を参照してください。

AWSのデフォルトセキュリティグループとは？

VPC内のインスタンスは、起動時にセキュリティグループが指定されない場合、デフォルトのセキュリティグループに関連付けられます。AWSはデフォルトセキュリティグループに「default」という一意のIDを割り当てます。

AWSのネットワーク問題のトラブルシューティングに使えるツールは？

以下のツールを活用することで、ネットワークの診断とテストが行えます。
AWSSupport-SetupIPMonitoringFromVPCを使用すると、パケットロス、レイテンシー、MTR、TCP traceroute、TracePathなどのネットワークメトリクスを収集できます。MTRを使えば、ICMPまたはTCPパケットの損失や遅延の有無を判断でき、経路を分析することでレイテンシーやルーティングエラーの原因を特定できます。

AWSの問題を確認するには？

Amazon EC2コンソール（https://console.aws.amazon.com/ec2/）を開くと、ステータスフィードバックを報告できます。ナビゲーションペインで「Instances（インスタンス）」メニューを選択し、対象のインスタンスを選んで「Status Checks（ステータスチェック）」タブを開きます。ページ下半分にある「Actions（アクション）」メニューから「Report instance status（インスタンスステータスの報告）」を選択してください。

EC2インスタンスがインターネットに接続できない理由は？

インスタンスがインターネットに接続するには、Elastic IPアドレスが必要です。そのためには、インスタンスにElastic IPアドレスを割り当てる必要があります。また、サブネットでパブリックIPv4アドレス指定が有効になっていることも確認してください。

VPCが正常に動作しているか確認するには？

Amazon EC2コンソールを開き、ナビゲーションペインの左側から「Instances」を選択します。確認したいインスタンスを選ぶと、Description（説明）ビューが表示され、そこでVPC IDを確認できます。さらに詳細を調べたい場合は、Amazon VPCコンソールにアクセスしてください。