Orca Security の Shift Left Security - Code Security で検知できるリスクの例をご紹介します。

こんにちは、Orca Security 担当の尾谷です。

今日は、AWS Summit Japan 2024 で問い合わせの多かった、Shift Left Security に関して、特に Terraform の tf ファイルに記述されたリスクを Orca がどのように指摘するかご紹介します。

Amazon Aurora Cluster ストレージの暗号化を推奨

このスクリーンショットでは、Terraform のコードを展開すると、Aurora のストレージが暗号化されずにデプロイされるため、storage_encrypted = true を追加すべきだと指摘しています。

バケットポリシーの記述方法を指摘

このスクリーンショットでは、Terraform のコードに記述された、Amazon S3 のバケットポリシーに対して、 Principal に '*' を使用すると、全世界に公開された状態になることを指摘しています。

パブリック IP アドレスをアタッチすべきでない

このスクリーンショットでは、Terraform のコードを展開すると、EC2 インスタンスにパブリック IP アドレスをアタッチされるので、 associate_public_ip_address の設定を削除するか、 associate_public_ip_address=False にすべきだと指摘しています。
ただ、IP アドレスがないとインターネット接続できないため、前段に ELB をアタッチしたり、NAT Gateway をデプロイするなどの工夫が必要です。