AWSサービスを使用したオンプレミスサーバーのマルウェアスキャン分析の実行

オンプレミスでのマルウェア検出の課題

セキュリティチームが予算やリソースの制約により、すべてのオンプレミスサーバーを継続的に監視することは困難な場合があります。シグネチャベースのアンチウイルスだけでは不十分であり、現代のマルウェアはさまざまな難読化手法を使用します。サーバー管理者は、過去のすべてのサーバーにわたるセキュリティイベントを可視化できない可能性があります。インシデント発生時に、侵害されたシステムと復元に安全なバックアップを特定することは、一元化された監視とアラートがなければ困難です。サーバー管理者が高度な脅威検出のために追加のセキュリティツールをセットアップおよび維持することは面倒です。感染の平均検出時間と修復時間を短縮することは重要ですが、適切な自動化ソリューションがなければ達成するのは困難です。

包括的な脅威インテリジェンスがなければ、インシデント発生時にどのバックアップイメージから復元しても安全かを判断することも別の難しい問題です。バックアップが利用可能であっても、システムがいつ侵害されたかを正確に知らなければ、バックアップから盲目的に復元するのはリスクがあります。これにより、マルウェアを復元し、インシデント対応中にさらに貴重なデータやシステムを失う可能性が高まります。侵入のタイムラインを特定し、復元に安全なバックアップを推奨する自動化ソリューションが必要です。

AWSサービスを使用してこれらの課題に対処する方法

このソリューションは、AWS Elastic Disaster Recovery (AWS DRS)、Amazon GuardDuty、AWS Security Hubを活用して、オンプレミスサーバーのマルウェア検出の課題に対処します。

これらのサービスの組み合わせにより、パフォーマンスに影響を与えることなく、オンプレミスサーバーを継続的に監視するための費用対効果の高い方法を提供します。また、一元化された脅威分析を通じて侵害のタイムラインを特定し、復元のための安全な復旧時点のバックアップを判断するのに役立ちます。

• AWS Elastic Disaster Recovery (AWS DRS) は、手頃な価格のストレージ、最小限のコンピューティング、ポイントインタイムリカバリを使用して、オンプレミスおよびクラウドベースのアプリケーションの高速かつ信頼性の高い復旧により、ダウンタイムとデータ損失を最小限に抑えます。

• Amazon GuardDuty は、AWS アカウントとワークロードを継続的に監視し、悪意のあるアクティビティを検出し、可視性と修復のための詳細なセキュリティ検出結果を提供する脅威検出サービスです。

• AWS Security Hub は、セキュリティのベストプラクティスチェックを実行し、アラートを集約し、自動修復を有効にするクラウドセキュリティ体制管理 (CSPM) サービスです。

アーキテクチャ

ソリューションの説明

マルウェアスキャンソリューションは、オンプレミスサーバーがすでに AWS DRS でレプリケートされており、Amazon GuardDuty と AWS Security Hub が有効になっていることを前提としています。このリポジトリの cdk スタックは、アーキテクチャ図で DRS Malware Scan とラベル付けされたボックスのみをデプロイします。

1. AWS DRS は、オンプレミス環境 (または他のクラウドプロバイダー) から AWS へのソースサーバーのレプリケートを行っています。AWS DRS のセットアップの詳細については、クイックスタートガイド に従ってください。
2. Amazon GuardDuty はすでに有効になっています。
3. AWS Security Hub はすでに有効になっています。
4. マルウェアスキャンソリューションは、Amazon EventBridge のスケジュールルール (プレフィックス DrsMalwareScanStack-ScheduleScanRule) によってトリガーされます。必要に応じてスキャン頻度を調整できます (例: 1日1回、週1回など)。
5. Amazon EventBridge のスケジュールルールは、Submit Orders Lambda 関数 (プレフィックス DrsMalwareScanStack-SubmitOrders) をトリガーし、ソースサーバー DynamoDB テーブルからスキャンするソースサーバーを収集します。
6. 注文は、Scan Orders という名前の SQS FIFO キュー (プレフィックス DrsMalwareScanStack-ScanOrdersfifo) に配置されます。このキューは、同じ DRS インスタンスにマッピングされたスキャンリクエストをシリアル化し、競合状態を防ぐために使用されます。
7. Process Order Lambda はキューからマルウェアスキャン注文を取得し、それをエンリッチして、今後のマルウェアスキャン操作を準備します。たとえば、注文で提供された DRS ソースサーバーに関連付けられたレプリケーション DRS インスタンスの ID を挿入します。Process Order の出力は、GuardDuty マルウェアスキャンを呼び出すために必要なすべての情報を含むマルウェアスキャンコマンドです。
8. マルウェアスキャン操作は、DRSVolumeAnnotationsDDBTable を使用してボリュームレベルで追跡され、レポート機能を提供します。
9. マルウェアスキャンコマンドは、回復力を高めるために、Scan Commands SQS FIFO キュー (プレフィックス DrsMalwareScanStack-ScanCommandsfifo) に挿入されます。
10. Process Commands 関数は、キューに入れられたスキャンコマンドを API スロットリングを避けるために最大 1 秒あたり 1 コマンドのレートで送信します。これは、Amazon GuardDuty が提供する オンデマンドマルウェアスキャン機能 をトリガーします。
11. オンデマンド Amazon GuardDuty マルウェアジョブの実行は、Amazon GuardDuty サービスから監視できます。
12. マルウェアスキャンジョブの結果は、Amazon CloudWatch Logs にルーティングされます。
13. Subscription Filter Lambda 関数は、スキャンの結果を受け取り、DynamoDB を使用して結果を追跡します (ステップ #14)。
14. DRS Instance Annotations DynamoDB テーブルは、インスタンスレベルでマルウェアスキャンジョブのステータスを追跡します。
15. ScanReportStack という名前の CDK スタックは、Scan Report Lambda 関数 (プレフィックス ScanReportStack-ScanReport) をデプロイし、プレフィックス scanreportstack-scanreportbucket の Amazon S3 バケット にデータを入力します。
16. AWS Security Hub は、Amazon GuardDuty からの検出結果を集約および関連付けます。
17. Security Hub の検出結果イベントは、EventBridge ルール (プレフィックス DrsMalwareScanStack-SecurityHubAnnotationsRule) によってキャッチされます。
18. Security Hub Annotations Lambda 関数 (プレフィックス DrsMalwareScanStack-SecurityHubAnnotation) は、影響を受けるソースサーバーに関するコンテキスト情報を含む追加のノート (注釈) を検出結果に生成します。この追加情報は、Security Hub 検出結果の Notes セクションで確認できます。
19. その後のアクティビティは、採用されているインシデント対応プロセスによって異なります。たとえば、感染の日付に基づいて、AWS DRS を使用して、マルウェア感染の日付より前のスナップショットを使用したポイントインタイムリカバリを実行できます。
20. マルチアカウントシナリオでは、このソリューションは AWS DRS ソリューションをホストする AWS アカウントに直接デプロイできます。Amazon GuardDuty の検出結果は、一元化されたセキュリティアカウントに自動的に送信されます。

使用方法

前提条件

• AWS アカウント。

• Amazon Elastic Disaster Recovery (DRS) が設定されており、少なくとも 1 つのソースサーバーが同期中であること。設定されていない場合は、このドキュメントを確認してください。レプリケーション設定では、AWS Key Management Service (AWS KMS) のカスタマーマネージドキー (CMK) を使用した EBS 暗号化を考慮する必要があります。Amazon GuardDuty Malware Protection は、EBS のデフォルトの AWS 管理キーをサポートしていません。

• このソリューションのコンポーネントをデプロイするための IAM 権限。

• Amazon GuardDuty が有効であること。有効でない場合は、このドキュメントを確認してください。

• Amazon Security Hub が有効であること。有効でない場合は、このドキュメントを確認してください。

  警告
  現在、Amazon GuardDuty Malware スキャンは、EBS 管理キーで暗号化された EBS ボリュームをサポートしていません。このソリューションを使用して、DRS でレプリケートされたオンプレミス (または他クラウド) サーバーをスキャンする場合は、KMS で独自の暗号化キーを使用して DRS レプリケーションを設定する必要があります。現在、レプリケートサーバーで EBS 管理キーを使用している場合は、DRS コンソールで暗号化設定を独自の KMS キーを使用するように変更できます。

デプロイ

1. Cloud9 環境を作成し、Ubuntu イメージ (パフォーマンス向上のため少なくとも t3.small) を AWS アカウントに作成します。Cloud9 環境を開き、このリポジトリのコードをクローンします。注: Amazon Linux 2 には node v16 が含まれていますが、2023-09-11 以降サポートされていません。

   git clone https://github.com/aws-samples/drs-malware-scan
   

   cd drs-malware-scan
   

   sh check_loggroup.sh
   

2. CDK スタックをデプロイするには、Cloud9 ターミナルで次のコマンドを実行し、デプロイを確認します。

   npm install
   

   cdk bootstrap
   

   cdk deploy --all
   

   注
   このソリューションは 2 つのスタックで構成されています:

   • DrsMalwareScanStack: マルウェアスキャン機能に必要なすべてのリソースをデプロイします。このスタックは必須です。このスタックのみをデプロイする場合は、cdk deploy DrsMalwareScanStack を実行できます。
   • ScanReportStack: レポート機能に必要なリソース (Amazon Lambda と Amazon S3) をデプロイします。このスタックはオプションです。このスタックのみをデプロイする場合は、cdk deploy ScanReportStack を実行できます。

   両方のスタックをデプロイする場合は、cdk deploy --all を実行します。

設定

1. DRS ソースサーバーが継続的にレプリケートされ、正常なレプリケーション状態であることを確認します。これは、GuardDuty API の制限によるものです。本稿執筆時点では、DRS スナップショットをスキャンするパブリック AWS API はありません。DRS ソースサーバーのデータに対してマルウェアスキャンを実行する唯一の方法は、AWS DRS が管理するレプリケーションサーバー (Amazon EC2 インスタンス) に対してスキャンを実行することです。レプリケーションが正常な状態で実行されていない場合、DRS マルウェアスキャンが正常に完了しない可能性があります。ReadyforRecovery=Ready を確認する必要があります。

2. スキャンするソースサーバーを特定します。AWS DRS でレプリケートされているすべてのサーバーから、スキャンする候補サーバーのリストを決定します。AWS DRS コンソールから、ソリューションでスキャンするソースサーバー名をコピーし、テキストエディタに貼り付けます。これは次のステップで使用します。

        

3. DynamoDB テーブルを更新します。スキャンするサーバーのリストは、CDK スタックによって作成された DynamoDB テーブル (プレフィックス DrsMalwareScanStack-SourceServersDDBTable) に保存されます。AWS DRS によってレプリケートされている各ソースサーバーの DynamoDB アイテムを作成する必要があります。これを行うには、Amazon DynamoDB サービスに移動し、次の手順に従います:

        

4. マルウェアスキャンジョブをスケジュールします。Amazon EventBridge サービスに移動し、スタックによって作成された既存のルールを変更します。プレフィックス DrsMalwareScanStack-ScheduleScanRule のルールを編集し、マルウェアスキャン分析のスキャン頻度を設定します。また、このルールはデフォルトで 無効 になっているため、有効 にしてください。

        

5. Amazon GuardDuty がマルウェアスキャン操作をトリガーしたことを確認します。ソリューションが期待どおりに動作していることを確認するには、Amazon GuardDuty -> Malware scans コンソールで確認できます。スケジュール時刻から数秒後、ScanStatus = Running のジョブが表示されるはずです。表示されない場合は、以下のトラブルシューティングセクションを確認してください。