JAWS-UG Nagoya 2022.08.24

1. セキュリティグループ
Tracked/Untrackedの違い知っていますか？
２０２２年８月２４日

2. 自己紹介
 名前：田中 隆博（すえぞう）
 ついったー：@led_suezou
 Note：https://note.com/ledsue
 仕事：ユーザ系IT子会社にてインフラ構築、運用を担当
 好きなAWSサービス：EC2、CDK

3. はじめに
 今日のゴール
 セキュリティグループのTrackedとUntrackedな通信の違いを理解する
 セキュリティインシデント発生時にセキュリティグループを使って隔離する方法を理解する

4. 今日のネタ元
 今日のネタ元は2020年のre:Invent SEC327「Instance containment techniques for effective incident response」
というセッションになります。

5. セキュリティグループについて
 セキュリティグループとは？
 EC2インスタンスで利用できるステートフルな仮想ファイアウォール
 セキュリティグループのルールは、インスタンスに到達することを許可するホワイトリスト型
 インバウンドとアウトバウンドを個別に制御
 特定のポートに複数のルールがある場合、最も緩い制限が適用される
 例：203.0.113.1からポート22を許可、0.0.0.0からポート22を許可の2つのルールがある場合、
0.0.0.0からポート22の接続を許可を優先する

6. TrackedとUntrackedについて
 セキュリティグループは、インスタンスを出入りする通信を追跡（Tracked）しますが、特定のルール
が設定された場合、通信の追跡を行いません。この追跡を行わない状態のことを「Untracked」と呼び
ます。
 Untrackedになる条件は、以下の通りです。
プロトコル ポート番号 送信元IP
TCP 80 0.0.0.0/0
TCP 80 ::/0
TCP 22 203.0.113.1/32
ICMP すべて 0.0.0.0/0
プロトコル ポート番号 送信先IP
すべて すべて 0.0.0.0/0
すべて すべて ::/0
■インバウンドルール ■アウトバウンドルール
送信元IPを制限しない
対向側のルールにおいて、すべての
ポート（0～65535）をIPアドレス制限
をしない設定
対向するルールにこの関係が成立する場合（下図
の赤枠）、通信は追跡されず、Untrackedな状態に
なります。

7. TrackedとUntrackedの違い
 Trackedな通信
 セキュリティグループを変更しても、セッションが確立している接続はすぐに通信を中断されませ
ん。既存の接続がタイムアウトするまで通信を引き続き許可します。
 Untrackedな通信
 当該通信を許可しているルールを削除または修正すると即時に通信が中断されます。

8. 既存のセキュリティグループを利用して隔離する際の注意点
 セキュリティインシデントが発生し、セキュリティグループを用いてEC2インスタンスなどを隔離した
い場合、Trackedな状態の通信について注意が必要です。セキュリティグループを操作し、通信許可を取
り消しをしても、一定時間通信は許可された状態になります。
 そのため、以下の手順で通信をいったんUntrackedな状態に遷移させたのち、ルールの削除を行うこと
により、インスタンスの隔離を行うことができます。
手順１ 隔離するインスタンスに関連付けられたセキュリティグループを確認
手順２ 当該セキュリティグループのすべてのルールを削除
手順３ 「0.0.0.0/0(0-65535)」のルールをインバウンド、アウトバウンドの両方に作成
（これを行うことで確立済みの通信をすべてUntrackedな状態に変更）
手順４ 追加した「0.0.0.0/0(0-65535)」のルールをインバウンド、アウトバウンドの両方で
削除

9. 今日のまとめ
 セキュリティグループには、TrackedとUntrackedの区別があり、ルール変更時の通信制御に関する挙動
が違う。
 Trackedな通信はルール変更時に即時通信断にならないので、一度Untrackedな通信にしてからルール削
除をするようにする。

10. 参考資料
 Amazon EC2ドキュメント（セキュリティグループの接続の追跡）
 https://docs.aws.amazon.com/ja_jp/AWSEC2/latest/UserGuide/security-group-connection-tracking.html
 自分で書いたヤツ
 https://note.com/ledsue/n/nef83a35c7189
 https://note.com/ledsue/n/n0ef63621f80c
 元ネタのYouTube動画
 https://www.youtube.com/watch?v=pPCuCYrhIyI

11.  ご清聴ありがとうございました。