【🚨🚨🚨🚨🚨】まだRC4使ってるの？ AWS Managed Microsoft AD が「暗号化の脆弱性」を丸裸にする新機能をリリース！

AWS Managed Microsoft AD において、Kerberos 暗号化監査イベントログ（イベント ID 201～209）を Amazon CloudWatch Logs へ転送する機能が追加されました。これにより、アプリケーションやサービスが使用している暗号化タイプ（RC4 または AES）を可視化することが可能になります。本機能は、中東の特定リージョンを除く、すべての AWS リージョン（東京、大阪含む）で利用可能です。

🛡️ エンジニアの「知らないうちに脆弱」を防ぐ強力な武器

これまで、AWS Managed Microsoft AD を運用している現場では、「どのクライアントが古い、脆弱な暗号化規格である RC4 を使い続けているのか？」を特定するのが非常に困難でした。**「なんとなくセキュリティが不安だけど、どこから手を付ければいいかわからない」**という、いわゆる「運用上のブラックボックス」が解消されます。

🌏 日本国内の利用状況（重要！）

今回のアップデートは、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) の両方で利用可能です。大阪リージョンを使っているチームも、今すぐ設定を確認してください！

🚀 実践的な運用アドバイス

1. 「脱RC4」のロードマップ作成: ログを CloudWatch Logs に転送して、まずは現状把握から始めましょう。RC4 を検出した端末やアプリケーションは、優先的に AES-128 または AES-256 への移行計画を立てるのがベストプラクティスです。
2. コスト管理: 監査ログの量が多い場合、CloudWatch Logs の取り込み・保管コストが増える可能性があります。適切なリテンションポリシー（保持期間）を設定して、コストを最適化してください。
3. 監視の自動化: CloudWatch Logs Insights を使って RC4 利用状況を分析したり、CloudWatch アラームを連携させて、脆弱な暗号化を使用しているリソースを検知した際に即座に通知される仕組みを作るのが賢い運用です。

🛠️ まずやるべきこと

まずは AWS Directory Service コンソールの「ネットワークとセキュリティ」タブから、ログ転送を有効にして、CloudWatch Logs にどのようなイベントが記録されるか様子を見ることからスタートしましょう！

Reference: Enabling Amazon CloudWatch Logs log forwarding for AWS Managed Microsoft AD