Amazon Inspector の "Network Reachability" というルールパッケージ

### 久しぶりに新しいルールパッケージ(Network Reachability-1.1)のリリースがされました。

https://aws.amazon.com/jp/blogs/security/amazon-inspector-assess-network-exposure-ec2-instances-aws-network-reachability-assessments/

役割としてはこのようなもののようです。直訳ですが。

>EC2インスタンスがインターネット、仮想プライベートゲートウェイ、AWS Direct Connect、またはピアVPCなどの外部ネットワークから到達できるかどうかを判断するために、Amazon仮想プライベートクラウド（Amazon VPC）ネットワーク構成を分析します。つまり、ホストへの外部アクセスの可能性を通知します。これは、セキュリティグループ、ネットワークアクセスコントロールリスト（ACL）、ルートテーブル、インターネットゲートウェイ（IGW）など、すべてのネットワーク構成をまとめて分析することで、到達可能性を推測します。 VPCネットワーク経由でパケットを送信する必要はなく、EC2インスタンスネットワークポートへの接続を試みる必要もありません。パケットレスネットワークマッピングや偵察のようなものです！

## 事前準備

テスト用インスタンスは22,80ポートを開けている

テスト用EC2インスタンスにInspectorのエージェントを入れておく

※エージェントが入ってない場合は、SSMのRuncommandの"AmazonInspector-ManageAWSAgent"など使うと簡単にインストールできます。
[公式のインストール手順はこちらです](https://docs.aws.amazon.com/ja_jp/inspector/latest/userguide/inspector_installing-uninstalling-agents.html)

## Inspectorの設定

#### 評価ターゲット作成

以下値を入れ[作成]

名前:test-target1
Use Tag：Inspector/true (タグは任意のものを必要に応じて付ける。指定したタグだけがスキャンのターゲットになる)
※Install Agent：ここにチェックを入れるとSSMを使ったエージェントインストールが行われる。SSMエージェントが入ってる必要がある。ちなみにAmazonLinuxは最初から入っている

<img width="1167" alt="スクリーンショット 0030-11-10 8.39.08.png" src="https://qiita-image-store.s3.amazonaws.com/0/27932/d4c5775d-df81-ff4c-3649-1aec2554a954.png">

#### 評価テンプレート作成

こちらが今回追加された新しいパッケージの"Network Reachability-1.1"

<img width="517" alt="スクリーンショット 0030-11-10 8.41.23.png" src="https://qiita-image-store.s3.amazonaws.com/0/27932/d4c6c055-e01f-54b6-483d-ad1a6361a5dc.png">

以下値を入れ[作成]

名前：test-template1
ターゲット名：test-target1
ルールパッケージ：Network Reachability-1.1
所要時間：15分

<img width="957" alt="スクリーンショット 0030-11-10 8.41.51.png" src="https://qiita-image-store.s3.amazonaws.com/0/27932/3e563df6-4ac6-f7c8-3799-2b558c82e5f8.png">

#### 実行

作成したテンプレートにチェックを入れ[実行]をクリック

<img width="438" alt="スクリーンショット 0030-11-10 8.50.50.png" src="https://qiita-image-store.s3.amazonaws.com/0/27932/37c815e3-97d6-030d-d5ca-d086a7c1ed67.png">

分析中になるので15分まつ。

<img width="1235" alt="スクリーンショット 0030-11-10 8.42.50.png" src="https://qiita-image-store.s3.amazonaws.com/0/27932/f2fec412-26e1-a162-9817-1538b891fae6.png">

#### 結果

15分すると分析完了となります。

<img width="1156" alt="スクリーンショット 0030-11-10 8.59.51.png" src="https://qiita-image-store.s3.amazonaws.com/0/27932/a9f2bde3-4c3d-55da-533e-e5a1367f4743.png">

今回は4件結果が出ています

![スクリーンショット 0030-11-10 9.02.43.png](https://qiita-image-store.s3.amazonaws.com/0/27932/fc6fba5a-bcc3-9ebb-a0ee-ecccefbf1a30.png)

## 結果として何がどう見えているか？

##### 一番下の"Informational"を開くとこんな感じです

結果：
外部ネットワークとの接続性(Aggregate netowrk exposure):インスタンスi-xxxでは、ENI eni-yyyおよびセキュリティグループsg-zzzを介してインターネットからポートにアクセスできます

重要度：お知らせ

説明：インスタンスi-xxxでは、ENI eni-yyyおよびセキュリティグループsg-zzzは、インターネットからtcpポート[[22 - 22]、[80 - 80]]およびUDPポート[]にアクセスできます。 ENI eni-yyyは、アクセス制御リストacl-aaaを持つVPC vpc-bbbにあります。 これらのポートには、インターネットゲートウェイigw-cccを介してインターネットからアクセスできます。

推奨事項：セキュリティグループsg-zzzを編集して、インターネットからのアクセスを削除することができます

"Show Detail"を開くと取得したアセスメントの情報詳細がJSONで見れます

![68747470733a2f2f71696974612d696d6167652d73746f72652e73332e616d617a6f6e6177732e636f6d2f302f32373933322f65653931383433362d623163342d613739322d363161302d3839323366626463303365382e706e67.png](https://qiita-image-store.s3.amazonaws.com/0/27932/334470e4-ee3d-0fda-ae18-c1ea35e2c905.png)


もうひとつの"Information"はインスタンスがいるVPCにVPCピア接続してたので、VPCピア接続による別のVPCへの通信経路があるよという情報でした。

説明部分だけ

説明：インスタンスi-xxxでは、ENI eni-yyyおよびセキュリティグループsg-zzzは、ピアVPCからtcpポート[[22 - 22]、[80 - 80]]およびudp ports []へのアクセスを許可します。 ENI eni-yyyは、アクセス制御リストacl-aaaを持つVPC vpc-bbbにあります。 これらのポートには、ピアVPCからVPCピアリング接続pcx-cccを介して到達可能です

##### 一番上の"Medium"

結果:インスタンスi-xxxxでは、プロセス 'sshd'は 'SSH'に関連付けられているTCPポート22でリッスンしており、インターネットから到達可能です

重要度:中

説明：このインスタンスは、SSHに関連付けられているtcpポート22は、ポートをリッスンするプロセスでインターネットから到達可能です。 プロセスには名前「sshd」（プロセスID 28600）があり、/usr/sbin/sshdが使用されます。 インスタンスi-xxxはVPC vpc-bbbにあり、ネットワークACL acl-aaaを使用するENI eni-yyyが接続されています。 このポートには、セキュリティグループsg-zzzとIGW igw-cccを介してインターネットからアクセスできます

推奨事項
セキュリティグループsg-zzzを編集して、ポート22でインターネットからのアクセスを削除することができます

![スクリーンショット 0030-11-10 9.33.31.png](https://qiita-image-store.s3.amazonaws.com/0/27932/aba45155-58a2-8ead-dd01-f31ea118fea9.png)