AWSセキュリティサービスまとめ（SAA-C03）

# AWSセキュリティサービスまとめ
SAA-C03向け

## ファイアウォール系

<img width="450" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2950120/42754647-12ec-1e5b-ded6-7666db51178a.png">

|サービス名|特徴|
|---|---|
|Shield|<ul><li><b>レイヤー3,4</b>へのDDos攻撃からのマネージド保護</li><li>無償のStandard、ELB, Route53, CloudFrontなどと統合できる有償のAdvancedがある</li></ul>|
|WAF|<ul><li><b>レイヤー7</b>への攻撃（クロスサイトスクリプティングやSQLインジェクション）から保護</li><li>ALB, CloudFrontと統合し、HTTP/Sリクエストを監視するウェブアプリケーションファイアウォールである</li><li>ウェブACLで送信元の国を制限できる</li></ul>|
|Network Firewall|<ul><li>VPC全体を物理ファイアウォール保護するネットワークファイアウォールならびに不正侵入防御システム(IPS)のマネージドサービス</li><li>ネットワークトラフィックがインターネットゲートウェイに到達する前にフィルタできる</li><li>アウトバウンドサーバーメッセージブロック (SMB) リクエストをブロックできる</li></ul>|
|Firewall Manager|複数のAWSアカウント全体のファイアウォールのルールを一元的に構成および管理|


## 検知系

<img width="500" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2950120/17385030-4f32-b76e-bc16-14078d45ce77.png">

|サービス名|特徴|
|---|---|
|Macie|<ul><li><b>S3</b>のオブジェクトに対し、機械学習とパターンマッチングを使用して機密データを検出する</li><li>検出結果はEventBridgeとSecurity Hubに送信可能</li></ul>|
|Inspector|<ul><li>ソフトウェアの脆弱性や意図しないネットワークへの露出についてAWSワークロードを継続的にスキャンする脆弱性管理サービス</li><li><b>VPC</b>の意図しないポートの公開や<b>EC2の脆弱性</b>などを自動的に評価</li></ul>|
|GuardDuty|<ul><li>機械学習を使用して、ログ（CloudTrailイベント,VPCフローログ,DNSログ）からアカウントの通常動作を学習し、脅威を検出</li><li>学習ベースライン(7-14日必要)</li></ul>|
|Security Hub|<ul><li>複数のAWSアカウントを含め、すべてのセキュリティアラートを1箇所に集約</li><li>Cloud Security Posture Management (CSPM) (=クラウドセキュリティの状態管理)を実施</li></ul>|
|Detective|<ul><li>AWSサービス全体のイベントの<b>根本原因</b>を分析し特定する</li><li>調査結果のトリアージ、脅威ハンティング</li><li>リソース(VPCやEC2)、AWSアカウント、IPアドレスを視覚化</li></ul>|

## 監査系
<img width="200" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2950120/8b87041d-f890-4c26-3ef4-c4e5eb4427be.png">

|サービス名|特徴|
|---|---|
|Audit Manager|AWSの使用状況を<b>継続的に監査して</b>コンプライアンスに関する監査人に固有のレポートを自動作成|
|Artifact|コンプライアンス関連情報、レポートを取得できる|

Audit = 監査

## キー系

<img width="450" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2950120/ee37e5ab-146d-c3be-8bb5-159044593606.png">

|サービス名|特徴|
|---|---|
|Key Management Service(KMS)|<ul><li>データの暗号化に使用される暗号化キーの作成と制御を容易にするマネージドサービス</li><li>EBS, S3, RDSなどと統合できる</li><li>キーのライフサイクル/アクセス許可を管理</li></ul>|
|CloudHSM|専用のハードウェアデバイスを用いて、暗号化キーの作成・管理する|
|Secrets Manager（SSM）|KMSで暗号化した認証情報を管理する|
|System ManagerのParameter Store|プレーンテキストやKMSで暗号化した値を管理する|

#### SSMとParameter Storeの違い
||Secrets Manager（SSM）|Parameter Store|
|---|---|---|
|値|暗号化された値のみ(KMS)|プレーンテキスト/暗号化された値(KMS)|
|キー/パラメータごとの料金|1 USD/月|Standard <b>無料</b><br>Advanced 0.05 USD/月|
|API使用料金| 1万回ごとに 0.03 USD|Standard <b>無料</b><br>Advanced  1万回ごとに 0.05 USD|
|<font color=Peru>自動ローテーション|<font color=Peru>◯|<font color=Peru>×|
|パラメータ上限|なし|1万個まで|
|格納例|DB認証情報、APIキー、SSHキー、パスワード|AMIのID、ライセンスコード|

AWS KMSの記事も書きました

https://qiita.com/ouerika/items/4d687a9e5f4458017857

## 認証系
<img width="450" alt="image.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2950120/fd812f56-0708-bd9b-e686-a42f24275972.png">

|サービス名|特徴|
|---|---|
|ACM<br/>(AWS Certificate Manager)|<ul><li>パブリックおよびプライベートなSSL/TLS証明書を作成・管理・デプロイできる</li><li>ELB, CloudFront, API Gatewayと統合可能</li><li>インポートしない場合は、キーペアの作成、証明書署名要求(CSR)、証明書の更新がすべて自動</li></ul>|
|Directory Service|Active Directory(AD)のフルマネージドサービス<ul><li>AWSマネージドMicrosoft AD</li><li>ADコネクタ（AWSとオンプレミスのADとの間にトンネルを作成）</li><li>Simple AD（Samba4ベース）</li></ul>|
|Cognito|（<font color=Peru>外部ユーザー</font>のアカウントログイン管理）<ul><li>Web・モバイルアプリの認証、認可、ユーザー管理サービス</li></ul>|
|IAM Identity Center<br/>(旧SSO)|（<font color=Peru>内部ユーザー</font>のアカウントログイン管理）<ul><li>AWS Organizationsで複数アカウントを運用している環境において、各ユーザを集約管理し、ログインを簡単に行えるようにするためのサービス</li><li>SAMLを使用したフェデレーションをサポート</li></ul>|

Active Directory = Windows Serverのシステムリソース権限管理機能

フェデレーション = SSOを実現する技術。複数のサービスで認証情報を共有することで、ユーザ認証を1度にする仕組み

SAML（Security Assertion Markup Language）= セキュリティ認証情報を交換するためのXMLベースの標準フォーマット