S3はどうセキュリティ対策する？必要性や機能などを解説

S3はAWSが提供するクラウドストレージサービスです。S3を利用してデータの格納や管理ができるだけでなく、Webサイトやアプリケーションなどのデータのバックアップ、復元、アーカイブのほか、動画のコンテンツ配信元としても利用可能です。まずは、S3の主な特徴について見てみましょう。

■S3の特徴

S3は高い耐久性と可用性のあるストレージサービスですが、一般的なストレージサービスと同様のセキュリティ対策は必要です。

S3はサーバレスな環境で利用できるため、OSパッチの管理が不要になったり、DoS攻撃を阻止しやすかったりするという特徴があるものの、誤って不必要に外部公開をしてしまうなどの設定ミスによって、不正なアクセスによって情報漏洩が発生したり、ウイルスがアップロードされ、感染してしまったりするリスクも考えられます。

S3にはセキュリティ対策が必要となりますが、すべてを他社のソリューションで対応する必要はありません。S3にはセキュリティ機能が備わっており、これらを活用することで一定以上のセキュリティを確保できます。ここでは9つのセキュリティ機能を紹介します。

ブロックパブリックアクセス

S3のセキュリティ機能として、ブロックパブリックアクセスがあります。意図せずS3のバケットが公開されることで機密データが公になるのを防ぐ機能です。簡単な操作で、アカウント内にある既存のバケットと、新しいバケットにブロックパブリックアクセスを設定することができ、一定のセキュリティレベルを維持して集中的に管理できます。

オブジェクトロック

S3ではオブジェクトロックによって、オブジェクトのバージョンを維持できます。オブジェクトロックは、指定した期間、オブジェクトバージョンを守る機能です。ファイル保持ポリシーを強制的に適用することで、データを強力に保護し、コンプライアンスを遵守します。

オブジェクトの所有権制御

S3では、オブジェクトの所有権の制御も可能です。オブジェクトの所有権制御を設定すると、アクセスコントロールリストが無効になり、すべてのオブジェクトの所有権がバケット所有者に移ります。

暗号化

S3は暗号化によってセキュリティを高めています。暗号化されていないバケットや一般公開されているバケット、組織外のアカウントと共有されているバケットのすべてについて、オブジェクトのアップロードを自動的に暗号化します。これにより、アクセス許可のないユーザからのデータへのアクセスをブロックすることが可能です。

データの完全性検証

S3のセキュリティ機能として、データの完全性が検証できる点も挙げられます。4つのチェックサムアルゴリズムから選択し、データの完全性を確認することが可能です。

Identity and Access Management

S3では、Identity and Access ManagementによってIDを管理することが可能です。複数のIDを統合的に管理し、アクセス権限を適切に管理します。また、リソースベースのポリシー、ユーザポリシー、またはこれらを組み合わせることで、S3リソースへのアクセス権限を管理できます。

Amazon Macie

S3のAmazon Macieは、機械学習とパターンマッチングにより、S3の機密データを大規模に検出して、セキュリティリスクを可視化できます。さらに、リスクに対して、自動的に保護することも可能です。

AWS Trusted Advisor

AWS Trusted Advisorは、S3をチェックするセキュリティ機能です。運用環境を検査し、セキュリティギャップを埋められるポイントに対して推奨事項を提示します。チェックする対象は、S3バケットのログ設定、オープンアクセスのアクセス許可、S3 バケットのセキュリティ、バージョンの状態、S3バケットの耐障害性などです。

AWS PrivateLink for Amazon S3

S3に対するセキュリティ機能には、AWS PrivateLink for Amazon S3も挙げられます。AWS PrivateLink経由でS3にアクセスすることで、オンプレミス環境から直接的にS3にアクセスすることが可能です。

S3にはさまざまなセキュリティ対策の機能があり、ユーザに対してベストプラクティスが公開されています。
ここではS3のセキュリティベストプラクティスと、モニタリングと監査のベストプラクティスを紹介します。

■S3のセキュリティベストプラクティス

■S3のモニタリングと監査のベストプラクティス

S3のセキュリティリスクに、ウイルスがS3にアップロードされてしまう可能性が挙げられます。トレンドマイクロのTrend Micro Cloud One - File Storage Security™はこのリスクに対応するソリューションです。File Storage SecurityはS3にアップロードされるファイルに対して、自動的にウイルススキャンを実施します。

S3に設置するだけでウイルスチェックができるシンプルな仕組みで、柔軟なカスタマイズも可能です。さらに、100MBのファイルも5秒でスキャンできるため、既存のシステムでの作業時間の大幅な削減につながります。