自分の AWS アカウントで不正なアクティビティに気付いた場合の解決策を教えてください。

解決策

AWS アカウントで不正なアクティビティが疑われる場合は、まず以下の手順を実行して不正アクティビティを確認してください。次に、AWS アカウントの不正なアクティビティを修正します。最後に、AWS アカウントのルートユーザーを多要素認証 (MFA) で保護します。

注: アカウントにサインインできない場合は、「AWS アカウントにサインインできない場合の対応策を教えてください」を参照してください。

アカウントで不正なアクティビティがあったかどうかを確認する

不正なアクションを特定するには、AWS アカウントの認証情報に関するレポートを生成して、アカウント内の各 AWS Identity and Access Management (IAM) ID のパスワードまたはアクセスキーを監査します。次に、最近使用されたユーザー、ユーザーグループ、ロール、およびポリシーの IAM の最終アクセス情報を表示します。

アカウントへの不正アクセスや変更を特定するために、特定の IAM ユーザー、ロール、AWS アクセスキーのアカウントアクティビティをモニタリングできます。詳細については、「AWS アカウントでの異常なリソースアクティビティをトラブルシューティングする方法を教えてください」を参照してください。

予期しないサービスやアカウントへの請求など、権限のないリソースや IAM ユーザーの作成を特定するには、次の操作を実行します。

• アカウントのコストと使用状況レポートを作成します。
• Trusted Advisor レコメンデーションの使用を開始します。
• 毎月の請求に関するベストプラクティスを確認します。
  注: アカウントに関連する料金と使用状況は、AWS Cost Explorer を使用して確認することもできます。

アカウントに不正なアクティビティがないことを確認したら、それ以上のアクションは必要ありません。

不正なアクティビティがあったことを確認したら、次のセクションに進んで AWS アカウントの不正アクティビティを修正します。

アカウント内の不正なアクティビティを修正する

アカウントでの通常と異なるアクティビティに関する通知を AWS から受け取った場合は、まず次の手順を実行してください。その後、完了したアクションの確認を添えて、AWS サポートセンターの通知に返信します。

公開されたアカウントアクセスキーを更新する

公開されたアカウントアクセスキーについては、AWS サポートから送信された通常と異なるアクティビティに関する通知で確認します。キーが一覧表示されている場合は、次の手順を実行します。

1. AWS アクセスキーを更新します。
2. 元のアクセスキーを非アクティブ化します。
   重要: この手順では、元のアクセスキーを削除しないでください。
3. アプリケーションに問題がないことを確認します。問題がある場合は、元のアクセスキーを一時的に再アクティブ化して問題を修正します。
4. 元のアクセスキーを非アクティブ化にしてもアプリケーションが完全に機能するのであれば、元のアクセスキーを削除します。
5. 不要になった、または作成しなかった AWS アカウントのルートユーザーアクセスキーを削除します。

詳細については、「Secure access keys」(安全なアクセスキー) と「IAM ユーザーのアクセスキーを管理します」を参照してください。

不正である可能性のある IAM ユーザー認証情報を更新する

次の手順を実行します。

1. IAM コンソールを開きます。
2. ナビゲーションペインで [ユーザー] を選択します。
3. 一覧の最初にある IAM ユーザーの名前を選択します。
4. IAM ユーザーの [概要] ページ内にある [アクセス許可] タブの [アクセス許可ポリシー] セクションで、AWSCompromisedKeyQuarantineV2 ポリシーがユーザーにアタッチされていることを確認します。
5. ユーザーのアクセスキーを更新します。
6. アカウントの IAM ユーザーごとに手順 2〜5 を繰り返します。
7. 自分が作成したものではない IAM ユーザーを非アクティブ化します。
8. 作成した IAM ユーザーのパスワードを変更します。

一時的なセキュリティ認証情報を使用している場合は、「IAM ロールの一時的なセキュリティ認証情報を取り消す」を参照してください。

AWS CloudTrail イベント履歴に許可されていないアクティビティがないか確認する

次の手順を実行します。

1. AWS CloudTrail コンソールを開きます。
2. ナビゲーションペインで [イベント履歴] を選択します。
3. 許可されていないアクティビティ (アクセスキー、ポリシー、ロール、一時的なセキュリティ認証情報の作成など) の有無を確認します。
   重要: [イベント時間] を確認して、リソースが最近作成されたかどうか、および通常と異なるアクティビティと一致しているかどうかを確認してください。
4. 許可されていないアクセスキー、ポリシー、ロール、または一時的なセキュリティ認証情報をすべて削除します。

詳細については、「Working with CloudTrail Event history」(CloudTrail イベント履歴を操作する) を参照してください。

認識されない、または不正なリソースを削除する

AWS マネジメントコンソールを開き、アカウントのすべてのリソースが自分で起動したリソースであることを確認します。前月と現在の使用状況について、必ず確認と比較を行います。リソースを起動していないリージョンも含め、すべての AWS リージョンのすべてのリソースを確認してください。

次に、認識されないリソースや不正なリソースを削除するには、「AWS アカウント内の不要になったアクティブなリソースを削除する方法を教えてください」を参照してください。

重要: 調査のためにリソースを用意しなければならない場合は、それらのリソースをバックアップするのがベストプラクティスです。例えば、規制、コンプライアンス、または法的理由で Amazon Elastic Cloud Compute (Amazon EC2) インスタンスを保持しなければならない場合は、インスタンスを終了する前に Amazon EBS スナップショットを作成してください。

バックアップしたリソースを復元する

バックアップを維持するようにサービスを設定した場合は、そのバックアップを最後に確認された侵害されていない状態から復元します。

特定のタイプの AWS リソースを復元するには、次の操作を実行します。

• Amazon EBS ボリュームまたは EC2 インスタンスの復元
• Amazon Relational Database Service (Amazon RDS) インスタンスの場合: DB スナップショットへの復元
• Amazon Simple Storage Service (Amazon S3) オブジェクトバージョンの場合: 以前のバージョンの復元

アカウント情報を確認する

アカウントの次の情報がすべて正しいことを確認します。

アカウント情報を更新する必要がある場合は、次の操作を実行します。

• AWS アカウント名を更新する
• ルートユーザーのメールアドレスを更新する
• AWS アカウントの主要連絡先を更新する
• AWS アカウントの代替連絡先を更新する

注: アカウントセキュリティのベストプラクティスの詳細については、「AWS アカウントとそのリソースを保護するためのベストプラクティスにはどのようなものがありますか?」を参照してください。

MFA でアカウントのルートユーザーを保護する

AWS アカウントのルートユーザーは AWS サービスとリソースへの特権アクセス権を持っているため、多要素認証 (MFA) を有効にするのがベストプラクティスです。MFA は、ログイン認証情報の 2 番目の認証要素を提供し、パスワードが漏洩するリスクを軽減します。AWS マネジメントコンソールへのアクセス権を持つ IAM ユーザーごとに最大 8 台の MFA デバイスをアクティベートできます。

注: ルートユーザーの MFA を有効にすると、ルートユーザーの認証情報のみが影響を受けます。アカウント内の IAM ユーザーは、独自の認証情報を持つ個別の ID であり、各 ID には独自の MFA 設定があります。

MFA を有効にする方法については、「多要素認証 (MFA) でルートユーザーのサインインを保護する」および「IAM の AWS 多要素認証」を参照してください。

関連情報

AWS セキュリティインシデント対応ガイド

AWS セキュリティ監査のガイドライン