EC2 スキャンチェックリスト

スキャンの前に以下の手順の実行をお勧めします。

アプライアンスのステータスの確認

Amazon EC2 API プロキシ設定の定義

EC2 Assets がアクティブ化されていることの確認

スキャン対象の EC2 インスタンスにセキュリティグループを設定する方法

OS 認証の設定

 


アプライアンスのステータスの確認

「Scans」->「Appliances」を選択して、アプライアンスが Qualys クラウドプラットフォームに接続されていることを確認します。 スキャナが接続されていることを示す緑のアイコン は、アプライアンスが接続されており、スキャンできる状態であることを示します。

スキャナが接続されている状態を示す「Appliances」タブ

Amazon EC2 API プロキシ設定を定義(プロキシサーバを定義している場合のみ)

スキャナを配置するときに「User Data」フィールドでプロキシサーバを定義した場合は、この手順が必要となります。この手順を実行しないと、EC2 スキャンが機能しません。

「Scans」->「Appliances」を選択し、EC2 Virtual Scanner Appliance を編集します。「Proxy Settings」タブでは、ホスト名、IP アドレス、ポート、プロキシの資格情報(プロキシサーバで必要な場合)など、プロキシサーバ に関する情報を指定します。

詳細情報 >>

EC2 Assets がアクティブ化されていることの確認

EC2 ホストがアクティブ化されており、ホストに EC2 追跡方法が割り当てられていることを確認します。これは、「Host Assets」タブの VM と「Assets」タブの「AssetView」で確認できます。

EC2 追跡方法が指定されているアセットを示す「Host Assets」タブ

スキャン対象の EC2 インスタンスにセキュリティグループを設定する方法

AWS では、Scanner Appliance の IP アドレスまたは Scanner Appliance のセキュリティグループに対して、すべてのポートでの受信アクセスを許可するようセキュリティグループを関連付ける必要があります。以下に示すのは、Qualys Virtual Scanner Appliance のセキュリティグループに対して、すべてのポートでの受信アクセスを許可するよう EC2 インスタンスにセキュリティグループを割り当てた例です。

AWS でのセキュリティグループの作成

OS 認証の設定

EC2 インスタンスの Windows/Unix 認証レコードを設定し、スキャンオプションプロファイルでこれらの認証タイプを有効化することができます。

「Scans」->「Option Profiles」を選択します。「Initial Options」プロファイルを編集し、「Save As」を使用して別名でコピーを保存します。新しいプロファイルで、必要な認証タイプを有効化します。

VM オプションプロファイルの認証オプション

「Scans」->「Authentication」を選択します。スキャン対象の EC2 インスタンスの認証レコード(Windows/Unix)を追加します。レコードで、認証で使用されるアカウントの資格情報を追加する必要があります。これは、OS ユーザのアカウントです(AMI ユーザのアカウントではありません)。対象システムでの認証に使用する専用のアカウントを作成することをお勧めします。

推奨される設定を行ったレコードの例 >>

EC2 インスタンスの UNIX および Windows 認証レコードを作成するための「Authentication」タブ