はじめに

CIS AWS Foundations Benchmarkでは、CloudTrailで記録されるAPIコールに対して全14項目の
モニタリングを設定することが推奨されています。(3.Monitoring)
この14項目をモニタリングするためのCloudWatch Logsメトリクスフィルタとアラームを設定する
CloudFormation テンプレートを作成しました。

CIS AWS Foundations Benchmark とは

米国の非営利団体である CIS (Center for Internet Secuirty) が公開している
AWSアカウントの基本的なセキュリティを実装するための技術的なベストプラクティスです。
CISのベンチマークは PCI DSS などのコンプライアンス要件で業界標準のベストプラクティスとの
記載があった場合などに参照されます。

CIS Amazon Web Services Foundations Benchmark v1.2.0 - 05-23-2018
https://d1.awsstatic.com/whitepapers/compliance/AWS_CIS_Foundations_Benchmark.pdf

AWS Security Hubによるコンプライアンスの自動チェック

AWS Security Hub は AWS re:Invent 2018で発表されたAWS環境全体のセキュリティと
コンプライアンスの状況を確認することが可能なサービスです。

Security Hub は CIS AWS Foundations に定義されている各項目を
自動的かつ継続的にチェックすることができます。

作成したCloudFormationテンプレートについて

GitHubにおいています。

以下のドキュメントに掲載されている、Amazonのテンプレートをもとに作成しています。
([CloudWatch_Alarms_for_CloudTrail_API_Activity.json](https://s3-us-west-2.amazonaws.com/awscloudtrail/cloudwatch-alarms-for-cloudtrail-api-
activity/CloudWatch_Alarms_for_CloudTrail_API_Activity.json))

テンプレートを使用してアラームを作成する
https://docs.aws.amazon.com/ja_jp/awscloudtrail/latest/userguide/use-cloudformation-template-to-create-cloudwatch-alarms.html

CloudTrailの証跡設定内でリンクされているものと同一です。

オリジナルのテンプレートはCIS AWS Foundations の推奨モニタリング項目を
網羅できていないため、不足分のメトリクスフィルタおよびアラーム設定を追加しました。
具体的には以下の項目です。

3.2 - Ensure a log metric filter and alarm exist for Management Console sign-in without MFA
3.3 - Ensure a log metric filter and alarm exist for usage of "root" account
3.7 - Ensure a log metric filter and alarm exist for disabling or scheduled deletion of customer created CMKs
3.8 - Ensure a log metric filter and alarm exist for S3 bucket policy changes
3.9 - Ensure a log metric filter and alarm exist for AWS Config configuration changes
3.13 - Ensure a log metric filter and alarm exist for route table changes