はじめに

こんにちは、エーピーコミュニケーションズクラウド事業部の髙野です。
最近業務でCDKを使うことがあり、CDKを触っていく中でBaseline Environment on AWS（BLEA）の存在を知りました。

このBLEAがAWSのシステムにおけるセキュリティのベースラインを素早く構築できる点で非常に便利だと思ったので紹介したいと思います。

CDKとは

BLEAの話に入る前にCDKについて軽く説明をしておきます。

CDKはコードでクラウドインフラストラクチャを定義しプロビジョニングするためのフレームワークで、いわゆるIaCと呼ばれるものを実現するためのやつです。

そしてBLEAもこのCDKを使用して実装されています。

BLEAとは

BLEAはAWSが開発しているOSSで、AWSのセキュリティのベストプラクティスを実装した環境を迅速に構築するためのテンプレート群です。GitHubで公開されています。

BLEAの公開GitHubは以下になります。

github.com

前述のとおりテンプレートはCDKで実装されており、システムの利用用途に合わせたカスタマイズを少ないコード量で容易に行えるようにデザインされています。

数回のコマンドで以下のようなアーキテクチャを構築できます。

Standalone版引用：AWS 環境にセキュアなベースラインを提供するテンプレート「Baseline Environment on AWS」のご紹介 | Amazon Web Services ブログ

BLEAのいいところ

基本的なセキュリティを効率的に実装できる

AWSは AWS Well-Architected や AWS Security Reference Architecture (AWS SRA) といったセキュリティのベストプラクティスをドキュメントとして提供しています。しかしこれらを見て0から設計をおこない、手動で構築していくのはなかなか骨が折れますし、作業ミスも起こりやすいです。

BLEAのテンプレートを使用して自動構築することで、基本的なセキュリティを確保できます。下記がBLEAを使用したときにセットアップされる機能です。

CloudTrailによるAPIのロギング
AWS Configによる構成変更の記録
GuardDutyによる異常なふるまいの検知
SecurityHubによるベストプラクティスからの逸脱検知 (AWS Foundational Security Best Practice, CIS benchmark)
デフォルトセキュリティグループの閉塞（逸脱した場合自動修復）
AWS Healthイベントの通知
セキュリティに影響する変更操作の通知（一部）
セキュリティイベントを通知するSNSトピック (SecurityAlarmTopic) の作成
上記SNSトピックを経由した、メールの送信とSlackのセキュリティチャネルへの通知