Neptune の Security Hub コントロール

これら AWS Security Hub コントロールは、Amazon Neptune サービスとリソースを評価します。

これらのコントロールは、すべての で利用できるとは限りません。 AWS リージョン。 詳細については、「」を参照してくださいリージョン別のコントロールの可用性。

[Neptune.1] Neptune DB クラスターは、保管中に暗号化する必要があります

関連する要件： NIST.800-53.r5 CA-9(1)、 NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28(1)、 NIST.800-53.r5 SC-7(10)、NIST.800-53.r5 SI-7(6)

カテゴリ： 保護 > データ保護 > の暗号化 data-at-rest

重要度: 中

リソースタイプ : AWS::RDS::DBCluster

AWS Config ルール： neptune-cluster-encrypted

スケジュールタイプ: 変更がトリガーされた場合

パラメータ : なし

このコントロールは、Neptune DB クラスターが保管中に暗号化されているかどうかをチェックします。Neptune DB クラスターが保管中に暗号化されていない場合、コントロールは失敗します。

保管中のデータとは、永続的な不揮発性ストレージに任意の期間保管されているデータを指します。暗号化は、このようなデータの機密性を保護し、権限のないユーザーがデータにアクセスするリスクを低減するのに役立ちます。Neptune DB クラスターを暗号化することで、データとメタデータを不正アクセスから保護します。また、本番ファイルシステムの data-at-rest 暗号化に関するコンプライアンス要件を満たします。

修正

Neptune DB クラスターを作成するときに、保管中の暗号化を有効にできます。クラスターを作成した後で暗号化設定を変更することはできません。詳細については、「Neptune ユーザーガイド」の「Encrypting Neptune resources at rest」を参照してください。

[Neptune.2] Neptune DB クラスターは監査ログを CloudWatch Logs に発行する必要があります

関連する要件： NIST.800-53.r5 AC-2(4) NIST.800-53.r5 AC-4、(26)、 NIST.800-53.r5 AC-6(9) NIST.800-53.r5 AU-10, NIST.800-53.r5 AU-12, NIST.800-53.r5 AU-2, NIST.800-53.r5 AU-3, NIST.800-53.r5 AU-6(1), NIST.800-53.r5 AU-6(3), NIST.800-53.r5 AU-6(4), NIST.800-53.r5 AU-6(5), NIST.800-53.r5 AU-7(1), NIST.800-53.r5 AU-9(7), NIST.800-53.r5 CA-7、 NIST.800-53.r5 SC-7(9)、NIST.800-53.r5 SI-20、NIST.800-53.r5 SI-3(8)、NIST.800-53.r5 SI-4(20)、NIST.800-53.r5 SI-4(5)、NIST.800-53.r5 SI-7(8)

カテゴリ: 識別 > ログ記録

重要度: 中

リソースタイプ : AWS::RDS::DBCluster

AWS Config ルール： neptune-cluster-cloudwatch-log-export-enabled

スケジュールタイプ: 変更がトリガーされた場合

パラメータ : なし

このコントロールは、Neptune DB クラスターが監査ログを Amazon CloudWatch Logs に発行するかどうかをチェックします。Neptune DB クラスターが監査ログを CloudWatch Logs に発行しない場合、コントロールは失敗します。 は に設定EnableCloudWatchLogsExportする必要がありますAudit。

Amazon Neptune と Amazon CloudWatch は統合されているため、パフォーマンスメトリクスを収集して分析できます。Neptune は にメトリクスを自動的に送信 CloudWatch し、 CloudWatch アラームもサポートします。監査ログは高度なカスタマイズが可能です。データベースを監査すると、データに対する各操作をモニタリングし、どのデータベースクラスターがどのようにアクセスされたかに関する情報などを監査証跡に記録できます。Neptune DB クラスターのモニタリングに役立つ CloudWatch ように、これらのログを に送信することをお勧めします。

修正

Neptune 監査ログを CloudWatch ログに発行するには、「Neptune ユーザーガイド」の「Amazon CloudWatch Logs への Neptune ログの発行」を参照してください。 [Log exports] セクションで、[Audit] を選択します。

[Neptune.3] Neptune DB クラスタースナップショットはパブリックにしないでください

関連する要件： NIST.800-53.r5 AC-21、 NIST.800-53.r5 AC-3、 NIST.800-53.r5 AC-3(7) NIST.800-53.r5 AC-4、 NIST.800-53.r5 AC-4、(21) NIST.800-53.r5 AC-6、、 NIST.800-53.r5 SC-7(11) NIST.800-53.r5 SC-7、 NIST.800-53.r5 SC-7(16) NIST.800-53.r5 SC-7、(20) NIST.800-53.r5 SC-7、(21) NIST.800-53.r5 SC-7、(3) NIST.800-53.r5 SC-7、(4)、 NIST.800-53.r5 SC-7(9)

カテゴリ: 保護 > セキュアなネットワーク設定 > パブリックアクセス不可のリソース

重要度: 非常事態

リソースタイプ : AWS::RDS::DBClusterSnapshot

AWS Config ルール： neptune-cluster-snapshot-public-prohibited

スケジュールタイプ: 変更がトリガーされた場合

パラメータ : なし

このコントロールは、Neptune の手動 DB クラスタースナップショットがパブリックかどうかをチェックします。Neptune の手動 DB クラスタースナップショットがパブリックの場合、コントロールは失敗します。

Neptune DB クラスターの手動スナップショットは、意図しない限りパブリックにしないでください。暗号化されていない手動スナップショットをパブリックとして共有すると、そのスナップショットはすべての で使用できます。 AWS アカウント。 パブリックスナップショットでは、意図しないデータ漏えいが発生する可能性があります。

修正

Neptune の手動 DB クラスタースナップショットからパブリックアクセスを削除するには、「Neptune ユーザーガイド」の「Sharing a DB cluster snapshot」を参照してください。

[Neptune.4] Neptune DB クラスターでは、削除保護が有効になっている必要があります

関連する要件： NIST.800-53.r5 CA-9 (1)、 NIST.800-53.r5 CM-2, NIST.800-53.r5 CM-2(2), NIST.800-53.r5 CM-3, NIST.800-53.r5 SC-5(2)

カテゴリ: 保護 > データ保護 > データ削除保護

重要度: 低

リソースタイプ : AWS::RDS::DBCluster

AWS Config ルール： neptune-cluster-deletion-protection-enabled

スケジュールタイプ: 変更がトリガーされた場合

パラメータ : なし

このコントロールは、Neptune DB クラスターの削除保護が有効になっているかどうかをチェックします。Neptune DB クラスターで削除保護が有効になっていない場合、コントロールは失敗します。

クラスターの削除保護を有効にすることで、偶発的なデータベース削除や権限のないユーザーによる削除に対して保護の強化を提供します。削除保護が有効の間、Neptune DB クラスターは削除できません。削除リクエストを成功させるには、まず削除保護を無効にする必要があります。

修正

既存の Neptune DB クラスターの削除保護を有効にするには、「Amazon Aurora ユーザーガイド」の「コンソール、、 CLIを使用した DB クラスターの変更API」を参照してください。

[Neptune.5] Neptune DB クラスターでは、自動バックアップが有効になっている必要があります

関連する要件： NIST.800-53.r5 SI-12

カテゴリ: リカバリ > 耐障害性 > バックアップの有効化

重要度: 中

リソースタイプ : AWS::RDS::DBCluster

AWS Config ルール： neptune-cluster-backup-retention-check

スケジュールタイプ : 変更がトリガーされた場合

パラメータ :

パラメータ	説明	[Type] (タイプ)	許可されているカスタム値	Security Hub のデフォルト値
minimumBackupRetentionPeriod	最小バックアップ保持期間 (日数)	整数	7 ～35	7

このコントロールは、Neptune DB クラスターで自動バックアップが有効になっているかどうか、およびバックアップ保持期間が指定された時間枠以上であるかどうかをチェックします。Neptune DB クラスターのバックアップが有効になっていない場合や、保持期間が指定された時間枠未満の場合、コントロールは失敗します。バックアップ保持期間に対してカスタムパラメータ値を指定しない限り、Security Hub はデフォルト値の 7 日を使用します。

バックアップは、セキュリティインシデントからの迅速な復元と、システムの耐障害性の強化に役立ちます。Neptune DB クラスターのバックアップを自動化すると、システムを特定の時点に復元し、ダウンタイムとデータ損失を最小限に抑えることができます。

修正

自動バックアップを有効にし、Neptune DB クラスターのバックアップ保持期間を設定するには、「Amazon RDS ユーザーガイド」の「自動バックアップの有効化」を参照してください。[バックアップ保持期間] で 7 以上の値を選択します。

[Neptune.6] Neptune DB クラスタースナップショットは、保管中に暗号化する必要があります

関連する要件： NIST.800-53.r5 CA-9 (1)、 NIST.800-53.r5 CM-3(6), NIST.800-53.r5 SC-13, NIST.800-53.r5 SC-28, NIST.800-53.r5 SC-28 (1)、 NIST.800-53.r5 SC-7(10)、 NIST.800-53.r5 SC-7(18)

カテゴリ： 保護 > データ保護 > の暗号化 data-at-rest

重要度: 中

リソースタイプ : AWS::RDS::DBClusterSnapshot

AWS Config ルール： neptune-cluster-snapshot-encrypted

スケジュールタイプ: 変更がトリガーされた場合

パラメータ : なし

このコントロールは、Neptune DB クラスタースナップショットが保管中に暗号化されているかどうかをチェックします。Neptune DB クラスターが保管中に暗号化されていない場合、コントロールは失敗します。

保管中のデータとは、永続的な不揮発性ストレージに任意の期間保管されているデータを指します。暗号化は、このようなデータの機密性を保護し、権限のないユーザーがデータにアクセスするリスクを低減するのに役立ちます。Neptune DB クラスタースナップショット内のデータは、セキュリティを強化するために、保管中に暗号化する必要があります。

修正

既存の Neptune DB クラスタースナップショットは暗号化できません。代わりに、スナップショットを新しい DB クラスターに復元し、このクラスターで暗号化を有効にする必要があります。これで、暗号化されたクラスターから、暗号化されたスナップショットを作成できます。手順については、「Neptune ユーザーガイド」の「Restoring from a DB cluster snapshot」と「Creating a DB cluster snapshot in Neptune」を参照してください。

[Neptune.7] Neptune DB クラスターでは、IAMデータベース認証を有効にする必要があります

関連する要件： NIST.800-53.r5 AC-2 (1) NIST.800-53.r5 AC-3、、 NIST.800-53.r5 AC-3(15)、 NIST.800-53.r5 AC-3(7)、 NIST.800-53.r5 AC-6

カテゴリ: 保護 > セキュアなアクセス管理 > パスワードレス認証

重要度: 中

リソースタイプ : AWS::RDS::DBCluster

AWS Config ルール： neptune-cluster-iam-database-authentication

スケジュールタイプ: 変更がトリガーされた場合

パラメータ : なし

このコントロールは、Neptune DB クラスターでIAMデータベース認証が有効になっているかどうかを確認します。Neptune DB クラスターでIAMデータベース認証が有効になっていない場合、コントロールは失敗します。

IAM Amazon Neptune データベースクラスターのデータベース認証では、認証が を使用して外部で管理されるため、ユーザー認証情報をデータベース設定内に保存する必要がなくなりますIAM。IAM データベース認証が有効になっている場合、各リクエストは を使用して署名する必要があります。 AWS 署名バージョン 4。

修正

デフォルトでは、Neptune DB クラスターを作成すると、IAMデータベース認証は無効になります。有効にするには、「Neptune ユーザーガイド」の「Neptune でのIAMデータベース認証の有効化」を参照してください。

[Neptune.8] Neptune DB クラスターでは、タグをスナップショットにコピーするように設定する必要があります

関連する要件： NIST.800-53.r5 CA-9 (1)、NIST.800-53.r5 CM-2、NIST.800-53.r5 CM-2(2)

カテゴリ: 識別 > インベントリ > タグ付け

重要度: 低

リソースタイプ : AWS::RDS::DBCluster

AWS Config ルール： neptune-cluster-copy-tags-to-snapshot-enabled

スケジュールタイプ: 変更がトリガーされた場合

パラメータ : なし

このコントロールは、スナップショットの作成時に、すべてのタグをスナップショットにコピーするように Neptune DB クラスターが設定されているかどうかをチェックします。Neptune DB クラスターがタグをスナップショットにコピーするように設定されていない場合、コントロールは失敗します。

IT アセットの身分証明書とインベントリはガバナンスとセキュリティの重要な側面です。スナップショットには、親 Amazon RDS データベースクラスターと同じ方法でタグ付けする必要があります。タグをコピーすると、DB スナップショットと親データベースクラスターのメタデータが確実に一致し、また、DB スナップショットと親 DB インスタンスのアクセスポリシーが確実に一致するようになります。

修正

Neptune DB クラスターのスナップショットにタグをコピーするには、「Neptune ユーザーガイド」の「Copying tags in Neptune」を参照してください。

[Neptune.9] Neptune DB クラスターを複数のアベイラビリティーゾーンにデプロイする必要があります

関連する要件： NIST.800-53.r5 CP-10, NIST.800-53.r5 CP-6(2), NIST.800-53.r5 SC-36、 NIST.800-53.r5 SC-5(2)、NIST.800-53.r5 SI-13(5)

カテゴリ: リカバリ > 耐障害性 > 高可用性

重要度: 中

リソースタイプ : AWS::RDS::DBCluster

AWS Config ルール： neptune-cluster-multi-az-enabled

スケジュールタイプ: 変更がトリガーされた場合

パラメータ : なし

このコントロールは、Amazon Neptune DB クラスターに複数のアベイラビリティーゾーン () にリードレプリカインスタンスがあるかどうかを確認しますAZs。クラスターが 1 つの AZ にのみデプロイされている場合、コントロールは失敗します。

AZ が使用できなくなった場合や、定期的なメンテナンスイベントでは、リードレプリカがプライマリインスタンスのフェイルオーバーターゲットとして機能します。つまり、プライマリインスタンスが失敗した場合、Neptune はリードレプリカをプライマリインスタンスに昇格します。対照的に、DB クラスターにリードレプリカインスタンスが含まれていない場合、プライマリインスタンスが再作成されるまで障害が発生しても、DB クラスターは使用できないままになります。プライマリインスタンスの再作成は、リードレプリカの昇格よりもかなり時間がかかります。高可用性を確保するために、プライマリインスタンスと同じ DB インスタンスクラスを持ち、プライマリインスタンスAZsとは異なる にある 1 つ以上のリードレプリカインスタンスを作成することをお勧めします。

修正

Neptune DB クラスターを複数の にデプロイするにはAZs、「Neptune ユーザーガイド」の「Neptune DB クラスターのリードレプリカ DB インスタンス」を参照してください。