AWS Security Agent がメールベースの MFA をサポートし、ペネトレーションテストの範囲を拡大

AWS Security Agent（現在は AWS Continuum の一部）が、メールによるワンタイムコードや確認リンクを使用するアプリケーションの自動ペネトレーションテストをサポートしました。エージェントが資格情報ごとに固有の転送用メールアドレスを生成し、ユーザーが既存のメールプロバイダーで転送ルールを設定することで、MFA メールをエージェントにルーティングし、認証を自動化します。メールアカウントの資格情報情報は保存されず、プライバシーを維持しながら、既存の 多要素認証（多要素認証）の TOTP サポートをサポートします。

🛠️ ペネトレーションテストにおける「認証の壁」を突破

これまで、自動ペネトレーションテストにおいて、メールによる MFA（多要素認証）が導入されているアプリケーションは、エージェントがメールをインターセプト（傍受）できないため、テスト範囲外（Out of Scope）になりがちでした。今回のアップデートにより、メールベースの MFA を含むログインフローの自動化が可能になり、テストの網羅性が大幅に向上します。

📍 日本国内の利用状況について

AWS 公式の発表によると、本機能は AWS Security Agent がサポートされているすべての AWS リージョンで利用可能です。現時点で、東京リージョンや大阪リージョンにおける具体的なサポート状況については、公式ドキュメントに明示的な記載はありませんが、AWS Security Agent 自体のサポート状況に準じてります。

💡 実務上のアドバイス

• セキュリティとプライバシー: エージェントがメールを読み取る仕組みですが、メールアカウントのパスワードなどの資格情報は保存されない設計となっており、セキュリティ上の懸念は抑えられています。
• 運用上の注意点: 既存のメールプロバイダー側で「転送ルール」を設定する必要があります。テスト対象のアプリケーションが送信する MFA メールを、AWS Security Agent が生成する固有のアドレスへ転送する設定を行う手間は発生しますが、その、自動化のメリットは非常に大きいです。

🚀 次のアクション

まずは、現在運用中のアプリケーションのペネトレーションテスト計画を計画し、

1. AWS Security Agent のユーザーガイドを確認し、設定手順を詳細に確認する。
2. 転送ルール設定のワークフローを検証し、テスト環境でのテストを検証する。

参照元: AWS Security Agent User Guide https://docs.aws.amazon.com/securityagent/latest/userguide/what-is.html?trk=77f1fbea-4ad5-4c1d-b16e-e5634ca5086e&sc_channel=ps