Analyzerをしてみた。Analyzerをしてみた。Analyzer#AWSSUMANGALAS2022.04.21この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。Analyzerを使用すると、AWS上のリソースへの意図しないネットワークアクセスを特定することができます。Analyzerを使用して、ネットワークアクセス要件を指定し、指定した要件を満たさない可能性のあるネットワークパスを特定することができます。ネットワークアクセス要件は、ネットワークアクセススコープとして指定することができます。ネットワークアクセススコープは、Findingsの種類を決定します。MatchPathsフィールドは、分析によって生成されるネットワークパスのタイプを定義します。MatchPathsフィールドは、除外するネットワークパスのタイプを定義します。Analyzerをしてみました。ここで、プライベートインスタンスがNATゲートウェイを経由してのみインターネットゲートウェイに到達できるかどうかを試してみました。サービスの作成VPCを作成することも、既存のVPCを利用することもできます。プライベートEC2インスタンスを作成しておきます。IPを割り当て、パブリックサブネット上にNATゲートウェイを作成しておきます。プライベートサブネットのルートテーブルに、ターゲットをNATゲートウェイとするルートを追加しておきます。started]をクリックしてネットワークアクセススコープを作成しておきます。started]をクリックしてネットワークアクセススコープを作成すると、Amazonはデフォルトでアクセススコープ用に作成されます。以下の画像は、Amazonが作成したネットワークアクセススコープです。上記のネットワークアクセススコープを使用するか、独自のスコープを作成することができます。ここで、プライベートインスタンスがNATゲートウェイを経由してのみインターネットゲートウェイに到達できるかどうかを試します。このユースケースの場合、分析には[AWS-IGW-Egress]ネットワークアクセススコープを使用することができます。[Analyze]をクリックして分析を開始します。分析結果では、Findingsが検出されたことを確認できます。FindingsFindingsのパスを選択すると、ルートの詳細を確認できます。ここで、プライベートインスタンスがNATゲートウェイを介してインターネットゲートウェイに到達できることを確認できます。Darwin/......コマンドを使用して、ネットワークアクセススコープを作成しておきます。}}[NetworkInsightsAccessScopeId]を使用してスコープを分析しておきます。}}次のコマンドを使用して、分析の結果をみることができます。Findingsが検出されたことを示します。検出された分析の数を示します。次のコマンドを使用して、Findingsのルートの詳細を確認できます。"........."}上記の出力から、プライベートインスタンスがNATゲートウェイを介してインターネットゲートウェイに到達できることを確認できます。スコープの削除スコープを削除する前に、すべての分析を削除する必要があります。以下のコマンドを使用して、分析とスコープを削除しておきます。Analyzerをしてみました。Analyzerを使用して、ネットワークセキュリティを理解、検証、および改善できます。Analyzerを使用して、AWS上のネットワークが特定のコンプライアンス要件を満たしていることを示すこともできます。