こんにちは。はやしです。
AWS Configを利用するとインシデントの一次対応を自動的に行うことができます。
試しに、Trusted Advisorの「VPCのデフォルトのセキュリティグループは、インバウンドトラフィックおよびアウトバウンドトラフィックを許可してはなりません」という警告をAWS Configルールで自動修復させようと思います。

# 設計
![](https://kokosyna-post-bucket-prd.s3.ap-northeast-1.amazonaws.com/1407267c-cb57-4fc6-9cad-7585ed57cc82.webp)
## 詳細なフロー
1. AWS Configが24時間毎にConfigルールを評価する。
2. 評価の結果「非準拠」の場合、修復アクションを自動実行する。修復アクションはSSM Automationを呼び出す。
3. SSM Automationの具体的な実行内容はSSM Documentに定義されており、IAM Roleも併せて利用することで、デフォルトセキュリティグループを無効化する。

# 実装
実装はCDKで行いました。
```typescript:close-default-sg-stack.ts
import * as cdk from "aws-cdk-lib";
import { Construct } from "constructs";
import * as iam from "aws-cdk-lib/aws-iam";
import * as config from "aws-cdk-lib/aws-config";

export class CloseDefaultSgStack extends cdk.Stack {
  constructor(scope: Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);
    // Configルール
    const defaultSgClosedRule = new config.ManagedRule(
      this,
      "DefaultSgClosedRule",
      {
        // デフォルトのセキュリティグループが無効化されているか確認するルールを指定
        identifier:
          config.ManagedRuleIdentifiers.VPC_DEFAULT_SECURITY_GROUP_CLOSED,
      }
    );
    // 自動修復実行ロール
    const role = new iam.Role(this, "DefaultSgClosedRole", {
      assumedBy: new iam.ServicePrincipal("ssm.amazonaws.com"),
      inlinePolicies: {
        policy: new iam.PolicyDocument({
          statements: [
            new iam.PolicyStatement({
              actions: [
                // セキュリティグループのルールの削除に必要な権限
                "ec2.RevokeSecurityGroupIngress",
                "ec2.RevokeSecurityGroupEgress",
                "ec2.DescribeSecurityGroups",
              ],
              resources: ["*"],
            }),
          ],
        }),
      },
    });

    // 修復設定
    new config.CfnRemediationConfiguration(this, "DefaultSgClosedRemediation", {
      configRuleName: defaultSgClosedRule.configRuleName,
      targetId: "AWS-CloseSecurityGroup", // AWSが所有するSSMドキュメントを指定
      targetType: "SSM_DOCUMENT", 
      automatic: true, // 自動修復
      maximumAutomaticAttempts: 5,
      retryAttemptSeconds: 60,
      parameters: {
        AutomationAssumeRole: {
          StaticValue: {
            Values: [role.roleArn],
          },
        },
        SecurityGroupId: {
          ResourceValue: {
            Value: "RESOURCE_ID",
          },
        },
      },
      targetVersion: "1",
    });
  }
}
```

# 動作確認
①デフォルトのセキュリティグループのインバウンドルールとアウトバウンドルールが存在することを確認します。
![](https://kokosyna-post-bucket-prd.s3.ap-northeast-1.amazonaws.com/4d7fdefc-4174-4168-87a4-f6ac4950c55c.webp)

②AWS Configの評価は24時間毎に実行されますが、今回は検証なのでConfigで再評価を実行しちゃいます。
![](https://kokosyna-post-bucket-prd.s3.ap-northeast-1.amazonaws.com/e62b1eea-4931-459e-93fa-b4887f40a69b.webp)

③デフォルトのセキュリティグループのインバウンドルールとアウトバウンドルールが削除されていれば、成功です🎉
![](https://kokosyna-post-bucket-prd.s3.ap-northeast-1.amazonaws.com/69211e44-8c5d-4f3e-b244-eebd4d6780d7.webp)

# まとめ
私の現場では「一次対応は自動化しましょう！」的な文化があるので、ConfigやSSM Automationはよく利用します。
とはいえあまり参考になる記事がなかったのでまとめてみました。
ではまた👋