보안 그룹 변경 감지 알람이 없는 CloudWatch

설명

보안 그룹 생성·삭제와 인바운드·아웃바운드 규칙 변경은 서비스의 접근 범위를 바꿀 수 있습니다. 관련 이벤트를 모니터링해 승인되지 않은 변경이나 실수를 확인하세요.

잠재적 영향

알림이 없으면 의도하지 않은 서비스 노출이나 통신 차단에 대한 대응이 늦어질 수 있습니다.

해결 방법

보안 그룹의 생성·삭제와 규칙의 허용·제거 이벤트를 수집하는 로그 메트릭 필터를 설정하세요. 필터의 지표에 알람을 연결하고 담당자에게 알리도록 설정하세요.

예시

예시는 필터가 발행한 지표를 참조하도록 알람을 수정합니다. CloudTrail 로그 전달과 알림 대상은 별도로 구성하세요.

변경 전

hcl

resource "aws_cloudwatch_log_metric_filter" "example" {
  name           = "CIS-SecurityGroupChanges"
  pattern        = "{ ($.eventName = AuthorizeSecurityGroupIngress) || ($.eventName = AuthorizeSecurityGroupEgress) || ($.eventName = RevokeSecurityGroupIngress) || ($.eventName = RevokeSecurityGroupEgress) || ($.eventName = CreateSecurityGroup) || ($.eventName = DeleteSecurityGroup)}"
  log_group_name = aws_cloudwatch_log_group.CIS_CloudWatch_LogsGroup.name

  metric_transformation {
    name      = "CIS-SecurityGroupChanges"
    namespace = "CIS_Metric_Alarm_Namespace"
    value     = "1"
  }
}

resource "aws_cloudwatch_metric_alarm" "example" {
  alarm_name          = "CIS-3.10-SecurityGroupChanges"
  comparison_operator = "GreaterThanOrEqualToThreshold"
  evaluation_periods  = "1"
  metric_name         = "XXXX NOT YOUR FILTER XXXX"
  namespace           = "CIS_Metric_Alarm_Namespace"
  period              = "300"
  statistic           = "Sum"
  threshold           = "1"
}

변경 후

hcl

resource "aws_cloudwatch_log_metric_filter" "example" {
  name           = "CIS-SecurityGroupChanges"
  pattern        = "{ ($.eventName = AuthorizeSecurityGroupIngress) || ($.eventName = AuthorizeSecurityGroupEgress) || ($.eventName = RevokeSecurityGroupIngress) || ($.eventName = RevokeSecurityGroupEgress) || ($.eventName = CreateSecurityGroup) || ($.eventName = DeleteSecurityGroup)}"
  log_group_name = aws_cloudwatch_log_group.CIS_CloudWatch_LogsGroup.name

  metric_transformation {
    name      = "CIS-SecurityGroupChanges"
    namespace = "CIS_Metric_Alarm_Namespace"
    value     = "1"
  }
}

resource "aws_cloudwatch_metric_alarm" "example" {
  alarm_name          = "CIS-3.10-SecurityGroupChanges"
  comparison_operator = "GreaterThanOrEqualToThreshold"
  evaluation_periods  = "1"
  metric_name         = aws_cloudwatch_log_metric_filter.example.id
  namespace           = "CIS_Metric_Alarm_Namespace"
  period              = "300"
  statistic           = "Sum"
  threshold           = "1"
}