【警報】「設定上OK」はもう信じない。AWS Security Hubが「実際の公開ポート」を外から叩いて暴く新機能『Network Scanning』登場！

AWS Security Hubは、環境内のリソースがインターネットから実際に到達可能かどうかを外部からプローブ（スキャン）して検証する新機能「Network Scanning」を導入しました。従来のコントロールプレーン分析（設定値の確認）とは異なり、AWS所有のインフラから外部的にTCPポートをスキャンし、動作しているサービスや証明書情報までを自動収集します。対象はEC2、EIP、ALB、NLB、CLB、およびAzureのパブリックIPです。本機能はオプトイン形式で、タグによる除外設定も可能です。

🛠️ 運用現場の「あるある」を解消する神アプデ

「セキュリティグループの設定は正しいはずなのに、なぜか外部からアクセスできてしまう…」といった、設定と実態の乖離による事故、心当たりはありませんか？

これまでのSecurity Hubは「設定がこうなっているから、リスクがある可能性がある」という推測に基づいた検知がメインでした。しかし今回の新機能は、実際にインターネットからパケットを投げて「本当に開いているか」を確認しに行くという、まさに攻撃者の視点に近い動きをします。これにより、大量の誤検知（False Positive）に悩まされる運用コストを劇的に下げられる可能性があります。

🇯🇵 日本のエンジニアへの朗報：東京・大阪リージョン対応済み

リサーチ結果によると、東京リージョン (ap-northeast-1) および 大阪リージョン (ap-northeast-3) で既に利用可能です。日本国内のプロジェクトですぐに導入検討に入れます。

💡 実践的な運用アドバイス

1. 「設定ミス」と「実害」を切り分ける: 設定上は公開されているが、実際には到達できないリソースが大量に検出されるノイズを減らせます。真に危険な「実際に開いているポート」に集中できるようになります。
2. コストとホワイトリスト化: 具体的な料金は公式ページを確認してください。また、外部からのスキャンが行われるため、IDS/IPS等で検知される可能性があります。AWSのスキャン元IPをホワイトリストに入れておく運用を検討しましょう。
3. 除外設定の罠: SecurityHubNetworkScanExclusion タグを使って除外できますが、タグを付ける対象は「リソースそのもの」ではなく、**「パブリックIPを持つ実際のリソース（例：EIP）」**である必要がある点に注意してください。

🚀 次にやるべきこと

まずはコンソールから**「Network Scanning」を有効化（オプトイン）**してみてください。初回有効化から約24時間以内に既存リソースのスキャンが始まります。その後、Security HubのFindingsを確認し、自社環境の「真の攻撃表面」が可視化されるかチェックしましょう！

参照元: AWS Security Hub User Guide: Network Scanning