Amazon Redshift クラスターは、デフォルトでは一般公開されません。

クラスターへのパブリック アクセスを有効にすると、組織の攻撃対象領域が広がります。

例 1: 次の例は、publicly_accessible パラメーターを yes に設定することで Amazon Redshift クラスターへのパブリック アクセスを明示的に有効にする Ansible タスクを示しています。

- name: example1
  community.aws.redshift:
    identifier: mycluster
    command: create
    db_name: mydb
    node_type: ds1.xlarge
    username: "{{ username }}"
    password: "{{ password }}"
    publicly_accessible: yes

S3 バケットへのパブリック アクセスの設定ミスは、データ侵害の主な原因です。

S3 バケットはデフォルトでパブリック アクセスをブロックしますが、許可されたユーザーは、バケット ポリシーまたはアクセス制御リスト (ACL) を更新してパブリック アクセスを許可できます。

暗号化されていないブロック デバイスをマッピングする Amazon EC2 AMI は、データを不正アクセスや盗難の危険にさらします。

例 1: 次の Ansible タスクは、Amazon EC2 AMI を作成し、保存データの暗号化なしでブロック デバイスを AMI に接続します。これは、encrypted パラメーターが false に設定されているためです。

- name: Basic AMI Creation
  amazon.aws.ec2_ami:
    state: present
    instance_id: i-xxxxxx
    name: test_ami
    device_mapping:
      device_name: /dev/sda
      encrypted: false

デフォルトでは、EFS ファイル システムは暗号化されません。そのため、データが不正アクセスや盗難の危険にさらされます。

例 1: 次の Ansible タスクは、保存データの暗号化なしで EFS ファイル システムをセットアップします。これは、encrypt パラメーターが no に設定されているためです。

- name: EFS provisioning
  community.aws.efs:
    state: present
    name: myTestEFS
    encrypt: no
    targets:
      - subnet_id: subnet-12345678
        security_groups: [ "sg-87654321" ]

暗号化されていない Amazon Kinesis ストリーム ストレージ レイヤーは、データを不正アクセスや盗難の危険にさらします。

例 1: 次の Ansible タスクは、保存データの暗号化なしで Kinesis ストリームをセットアップします。これは、encryption_state パラメーターが disabled に設定されているためです。

- name: Set up Kinesis Stream with 10 shards and wait for the stream to become active
  community.aws.kinesis_stream:
    name: test-stream
    shards: 10
    wait: yes
    wait_timeout: 600
    encryption_state: disabled
  register: test_stream

デフォルトでは、CloudWatch ログ グループはログを無期限に保持します。保持の値が未指定であることは、適切な構成を設定するために組織のデータ処理ポリシーが参照されていないことを示します。この場合、組織がログ イベントを保存および管理するための、不要なコストが発生する可能性があります。

攻撃者は、長期間にわたって偽のイベント ログを継続的に要求することにより、Denial of Wallet (DoW) 攻撃を開始できます。これは、組織に経済的な影響を与える可能性があります。

例 1: 次の例は、保持ポリシーの定義に失敗した Ansible タスクを示しています。

- name: create a log_group in CloudWatchLogs
  community.aws.cloudwatchlogs_log_group:
    log_group_name: test-log-group
    tags: { "Name": "test-log-group", "Env" : "QA" }

デフォルトでは、CloudTrail ログ ファイルの検証は無効になっています。そのため、調査担当者は CloudTrail ログ ファイルが外部から改ざんされていないことを確認できません。

これにより、必要な権限を持つ攻撃者が有害な設定変更を実行し、CloudTrail ログを変更してそれらを非表示にすることが可能になります。

例 1: 次の Ansible タスクは、ログ ファイルの整合性検証なしで CloudTrail 構成をセットアップします。これは、enable_log_file_validation パラメーターがないためです。

- name: create a single region cloudtrail
  community.aws.cloudtrail:
    s3_bucket_name: mylogbucket
    s3_key_prefix: cloudtrail
    region: us-west-2