Orca Security で必要なワークロード数を調べる方法

こんにちは、Orca Security 担当の藤原です。

今日は、Orca Security を利用する際に必要となるワークロード数を算出するツールをご紹介します。 ※Orca Security のライセンス費用は、ワークロード単位で計算されます。

ご利用を検討されるAWSアカウントにおいて、必要となるワークロードを事前に確認いただく際にご利用いただければと思います。

ツールの概要

端的にお伝えすると、Orca Securityが提供するPythonスクリプトになります。以下URLより入手可能です。

https://github.com/orcasecurity/orca-poc/blob/main/aws_resource_count.py

このPythonスクリプトを AWS コンソール上の CloudShellから実行すると、実行したAWSアカウント上で必要となるワークロード数が算出されます。

実行手順

Pythonスクリプト(aws_resource_count.py)を作業端末に保存しておきます。
対象AWSアカウントにログインし、CloudShellを起動します。
事前準備として、CloudShell にて以下のコマンドを実行します。

# Python 3.8 を有効化
$ sudo amazon-linux-extras enable python3.8
  
# Python 3.8 をインストール
$ sudo yum install python38
  
# スクリプトの依存関係をインストール
$ python3.8 -m pip install botocove

前述のスクリプトをCloudShellにアップロードします。
アップロードしたスクリプトを実行します。以下では、単一のAWSアカウントで算出を行なっています。

$ python3.8 aws_resource_count.py --only-current-account

出力結果例

Counting resources for the current account...  
Region: ap-south-1 (1/17)  
Region: eu-north-1 (2/17)  
Region: eu-west-3 (3/17)  
Region: eu-west-2 (4/17)  
Region: eu-west-1 (5/17)  
Region: ap-northeast-3 (6/17)  
Region: ap-northeast-2 (7/17)  
Region: ap-northeast-1 (8/17)  
Region: ca-central-1 (9/17)  
Region: sa-east-1 (10/17)  
Region: ap-southeast-1 (11/17)  
Region: ap-southeast-2 (12/17)  
Region: eu-central-1 (13/17)  
Region: us-east-1 (14/17)  
Region: us-east-2 (15/17)  
Region: us-west-1 (16/17)  
Region: us-west-2 (17/17)  
  
==============  
Total results:  
==============  
Virtual Machines Count: 7 (Workload Units: 7)  
Serverless Functions Count: 6 (Workload Units: 1)  
Container Images Count: 0 (Workload Units: 0)  
VM Images Count: 1 (Workload Units: 1)  
Serverless Containers Count: 0 (Workload Units: 0)  
Container Hosts Count: 0 (Workload Units: 0)  
-----------------------------------------  
TOTAL estimated workload units: 9

「Total results」の配下で各項目毎に必要なワークロードが表示されています。
「TOTAL estimated workload units」が、このAWSアカウントで必要なワークロードの総数となります。

備考

このスクリプトにて出力されるワークロード数は概算です。正確なワークロード数は、Orca Security にてアカウントを接続していただいた最初のスキャン後に判明します。

VM イメージについては、過去 30 日間に使用/起動されたイメージがカウントされます。
コンテナホストの場合、コンテナが動作している仮想マシンの数は、スキャンが実行された後にのみ計上されます。
スクリプトは、ノードに基づいてこの数を推定します。
コンテナイメージについては、更に細かな算出方法が加味されます。

詳細は導入時にドキュメントを参照ください。