Firewall Manager で使ってないセキュリティグループを監視 #AWS

やりたいこと

SGが増えてきたので整理したい。まずは使ってないSGをリストアップしたい。

環境

AWSアカウントA : Firewall Managerの親、Organizationの親
AWSアカウントB : Firewall Managerの子、Organizationの子

※ Organizationの親とFirewall Managerの親は別々のAWSアカウントでも構いませんが、Organizationに参加しているアカウントがFirewall Managerの対象になります。
※ AWSアカウントA,BでAWS Configを有効にしておく
※ 両AWSアカウントで既にSGがいくつか作成されている

シナリオ

使ってないSG(リソースにアタッチされてない)のリストアップ
同じルールが書かれたSGのリストアップ

アカウントBで「アタッチされてないSG」 or 「同じルールが設定されているSG」を監視しリストアップします。
これらは不要なSGなので見つけたいですよね。自動的なアクションも行えますが今回はやりません。

手順

Firewall Manager の Administrator アカウント登録

AWSのマネコンからFirewall Managerをクリックし、[Get Started]をクリックし、「Administrator account ID」を入力し[Set administrator account]をクリックする。

少し待ちます

Security policy の作成

左メニューの"Security policies"をクリックし、真ん中上辺りのリージョンで[Asia Pacific(Tokyo)]を選択し、右上の[Create policy]をクリック

Policy typeは"Security group"にチェックを入れ、Security group policy typeは"Auditing and cleanup of unused and redundant security groups"にチェックを入れ、Regionは東京にし、右下の[Next]をクリックする

"Auditing and cleanup of unused and redundant security groups"は、日本語だと、「未使用および冗長なセキュリティグループの監査とクリーンアップ (AWS組織全体で未使用の冗長なセキュリティグループを見つけて管理します。)」ということで、そのままですが、使ってないSGや同じ内容のSGの検知監査ができます。一旦クリーンアップは置いておきます。今回の目的を果せそうなのでこちらを選択。

ポリシーの各値を入力

ポリシー名：test-policy1
ポリシールール：2つにチェック
- ☑Security group within this policy scope must be used by at least one resource
- ☑Security groups within this policy scope must be unique
ポリシーアクション:
- ☑Identify resources that don't comply with the policy rules, but don't auto remediate
- □Auto remediate any noncompliant resources.

それぞれ日本語だと

ポリシーリー：2つにチェック
- ☑このポリシースコープ内のセキュリティグループは、少なくとも1つのリソースで使用する必要があります
  - (リソースにアタッチされてないものを検出したいのでチェックいれます)
- ☑このポリシースコープ内のセキュリティグループは一意である必要があります
  - (重複したルールのSGを検出したいのでチェック入れます)
ポリシー：
- ☑ポリシールールに準拠していないが自動修復しないリソースを特定する
  - (検出だけしたいのでチェックを入れます)
- □非準拠のリソースを自動修正します。
  - (今回自動修正しないのでチェックオフ)

※「Auto remediate any noncompliant resources」は、例えばアタッチされてないSGを検知すると自動で削除されます。設定には注意が必要です。

Organization配下のアカウント全部を対象にし
Security Groupを対象リソースにし
タグなどでフィルタせず全てのSGを対象にします

タグ情報は入れずに、次のサマリページもそのままで[Create policy]

検出確認

反映されるまで少し待ちます。

作成したSecurity policy(test-policy1)をクリックします。私の環境ではアカウントが4つあったので4つ表示されています。
Statusが"Noncompliant"になってるものが、このポリシールールに引っかかったものがあることを示しています。AWSアカウントBをクリックします。下から2つ目のNoncompliantになってるものです。