CSPM – 最小権限の原則を実践

本文の内容は、2022年11月22日にNIGEL DOUGLASが投稿したブログ（https://sysdig.com/blog/cspm-least-privilege-principle/)を元に日本語に翻訳・再構成した内容となっております。

クラウドセキュリティポスチャーマネジメント（CSPM）は、クラウドインフラクチャー全体のリスクの特定と是正を自動化することを目的としています。CSPMのフレームワークの中核となる要件は、最小権限の原則を強制することです。

最小権限の原則とは？

アクティビティログに基づくクラウド監査と脅威の検出

• 多要素認証を使用しないコンソールログイン
• ユーザーに対する多要素認証の無効化
• S3バケットに対する暗号化の無効化

クラウドにおけるMFA エンフォースメント

クラウドホストスキャン

一度接続すれば、誰がインフラストラクチャーに変更を加えたか、その変更を行ったユーザーにどのような権限が与えられているかを詳細に把握することができるはずです。一般的なクラウドプロバイダーの監査ログに接続することで、関連するすべてのユーザーの変更を追跡することができるはずです。クラウド上の不正なホスト接続を阻止するための防御策については、今後説明する予定です。それまでの間、Falcoを検知ツールとして使用し、特定することが重要です。

- rule: Outbound or Inbound Traffic not to Authorized Host Process and Port
  desc: Detect traffic that is not to an authorized VM process and port.
  condition: >
    allowed_port and inbound_outbound and container and
    container.image.repository in (allowed_image)
  output: >
    Network connection outside authorized port and binary
    (proc.cmdline=%proc.cmdline connection=%fd.name user.name=%user.name
    user.loginuid=%user.loginuid container.id=%container.id evt.type=%evt.type
    evt.res=%evt.res proc.pid=%proc.pid proc.cwd=%proc.cwd proc.ppid=%proc.ppid
    proc.pcmdline=%proc.pcmdline proc.sid=%proc.sid proc.exepath=%proc.exepath
    user.uid=%user.uid user.loginname=%user.loginname group.gid=%group.gid
    group.name=%group.name container.name=%container.name
    image=%container.image.repository)
  priority: warning
  source: syscall
  append: false
  Exceptions:
  - name: proc_names
    comps: in
    fields: proc.name
    Values:
    - authorized_server_binaries

クラウドエンタイトルメント

ユーザー権限の制限

• ルートポリシーの所有者です。したがって、そのメンバーは、rootの下でポリシーをロードすることができます。
• ルートから分岐したポリシーの明示的な所有者ロールが指定されていない限り、すべてのポリシーを所有します。

# add the following to your root policy file
# declare two users and a group
- !user nigel
- !user pietro
- !group sysdig-root-admins
# add members to the group
- !grant
  role: !group sysdig-root-admins
  Members:
    - !user nigel
    - !user pietro
# give the group privileges on some resources
- !permit
  role: !group sysdig-root-admins
  Privileges:
    - read
  Resources:
    - !policy root

クラウド資産の棚卸し

認証情報の公開を避ける

以下のFalcoのルールは、ConfigMapがプライベートな認証情報を含んでいる場合に検出するためのものです。発見された場合、これらをコンフィギュレーションファイルから削除してください。

- rule: Create/Modify Configmap With Private Credentials
  desc: >
      Detect creating/modifying a configmap containing a private credential (aws
      key, password, etc.)
  condition: kevt and configmap and kmodify and contains_private_credentials
  output: >-
      K8s configmap with private credential (user=%ka.user.name verb=%ka.verb
      configmap=%ka.req.configmap.name namespace=%ka.target.namespace)
  priority: warning
  source: k8s_audit
  append: false
  Exceptions:
   - name: configmaps
      Fields:
      - ka.target.namespace
      - ka.req.configmap.name

クラウドのクレデンシャルを検索する

以下のFalcoのルールは、本番環境で公開されているAWSのクレデンシャルを検出するはずです：

- rule: Find AWS Credentials
  desc: Find or grep AWS credentials
  condition: >
    spawned_process and ((grep_commands and private_aws_credentials) or
    (proc.name = "find" and proc.args endswith ".aws/credentials"))
  output: >-
    Search AWS credentials activities found (user.name=%user.name
    user.loginuid=%user.loginuid proc.cmdline=%proc.cmdline
    container.id=%container.id container_name=%container.name evt.type=%evt.type
    evt.res=%evt.res proc.pid=%proc.pid proc.cwd=%proc.cwd proc.ppid=%proc.ppid
    proc.pcmdline=%proc.pcmdline proc.sid=%proc.sid proc.exepath=%proc.exepath
    user.uid=%user.uid user.loginname=%user.loginname group.gid=%group.gid
    group.name=%group.name container.name=%container.name|
    image=%container.image.repository:%container.image.tag)
  priority: notice
  source: syscall
  append: false
  Exceptions:
  - name: proc_pname
    Fields:
    - proc.name
    - proc.pname
  …

IaCスキャン

apiVersion: apps/v1
kind: Deployment
Metadata:
  name: harbor-scanner-anchore
  Labels:
    app: harbor-scanner-anchore
Spec:
    Spec:
      Containers:
        - name: adapter
        image: anchore/harbor-scanner-adapter:1.0.1
        imagePullPolicy: IfNotPresent
        Env:
          - name: SCANNER_ADAPTER_LISTEN_ADDR
            value: ":8080"
          - name: ANCHORE_ENDPOINT
            value: "http://anchore-anchore-engine-api:8228"
          - name: ANCHORE_USERNAME
            valueFrom:
              secretKeyRef:
                name: anchore-creds
                key: username
          - name: ANCHORE_PASSWORD
            valueFrom:
              secretKeyRef:
              name: anchore-creds
              key: password
          …

デプロイマニフェストに指定されているように、スキャナアダプタポートはポート8080でリッスンします。

—
apiVersion: v1
kind: Service
Metadata:
  name: harbor-scanner-anchore
Spec:
  Selector:
    app: harbor-scanner-anchore
  type: ClusterIP
  Ports:
    - protocol: TCP
      port: 8080
      targetPort: 8080

クラウドコンフィギュレーション

match[{"msg": msg}] {
    input.request.operation == "CREATE"
    input.request.kind.kind == "Pod"
    input.request.resource.resource == "pods"
    input.request.object.spec.containers[_].ports[_].containerPort == 443
    msg := "Preventing 443 (TCP) in pod config"
}

アイデンティティ・ベースポリシー

これにより、ユーザーはNetwork Managerコンソールを使用して、グローバルネットワークとその関連リソースを表示および監視し、リソースのメトリクスとイベントを表示することができます。ただし、ユーザーはリソースを作成したり、変更したりすることはできません

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "ec2:Get*",
          "ec2:Describe*"
        ],
        "Resource": "*"
      },
      {
        "Effect": "Allow",
        "Action": [
          "networkmanager:Get*",
          "networkmanager:Describe*"
        ],
        "Resource": "*"
      },
      {
        "Effect": "Allow",
        "Action": [
          "cloudwatch:List*",
          "cloudwatch:Get*",
          "cloudwatch:Describe*"
        ],
        "Resource": "*"
      },
      {
        "Effect": "Allow",
        "Action": [
          "logs:Describe*",
          "logs:Get*",
          "logs:List*",
          "logs:StartQuery",
          "logs:StopQuery",
         "logs:TestMetricFilter",
          "logs:FilterLogEvents"
        ],
        "Resource": "*"
      },
      {
        "Effect": "Allow",
        "Action": [
          "events:List*",
          "events:TestEventPattern",
          "events:Describe*"
      ],
      "Resource": "*"
      },
      {
         "Effect": "Allow",
          "Action": "directconnect:Describe*",
          "Resource": "*"
      }
    ]
}

{
  "bindings": [
    {
      "members": [
        "user:[email protected]"
      ],
      "role": "roles/owner"
    }
  ],
  "etag": "BwUjMHhHNvY=",
  "version": 1
}

リソースベースポリシー

"Version": "2022-10-17",
"Id": "default",
"Statement": [
    {
      "Sid": "lambda-allow-s3-nigel-function",
      "Effect": "Allow",
      "Principal": {
        "Service": "s3.amazonaws.com"
      },
      "Action": "lambda:InvokeFunction",
      "Resource": "arn:aws:lambda:us-east-2:123456789012:function:my-function",
      "Condition": {
        "StringEquals": {
          "AWS:SourceAccount": "123456789000"
        },
        "ArnLike": {
          "AWS:SourceArn": "arn:aws:s3:::nigel-bucket"
        }
      }
    }
]

ネットワーク制限の遵守

- rule: Create a Network ACL Entry Allowing Ingress Open to the World
  desc: >-
    Detect creation of access control list entry allowing ingress open to the world.
  condition: |
      aws.eventName="CreateNetworkAclEntry" and not aws.errorCode exists and (
        not (
          jevt.value[/requestParameters/portRange/from]=80 and
          jevt.value[/requestParameters/portRange/to]=80
       ) and
      not (
        jevt.value[/requestParameters/portRange/from]=443 and
        jevt.value[/requestParameters/portRange/to]=443
      ) and
      (
        jevt.value[/requestParameters/cidrBlock]="0.0.0.0/0" or
        jevt.value[/requestParameters/ipv6CidrBlock]="::/0"
      ) and
      jevt.value[/requestParameters/egress]="false" and
      jevt.value[/requestParameters/ruleAction]="allow"
    )
  output: >-
    Detected creation of ACL entry allowing ingress open to the world
    (requesting user=%aws.user, requesting IP=%aws.sourceIP, AWS
    region=%aws.region, arn=%jevt.value[/userIdentity/arn], network acl
    id=%jevt.value[/requestParameters/networkAclId], rule
    number=%jevt.value[/requestParameters/ruleNumber], from
    port=%jevt.value[/requestParameters/portRange/from], to
    port=%jevt.value[/requestParameters/portRange/to])
  priority: error
  source: aws_cloudtrail
  append: false
  exceptions: []

まとめ