AWS、ネットワークのスキャンの指針 守らない通信は止める権利も

AWSは、顧客の仕組み(ワークロード)をネットワーク越しにスキャンする側に向けた指針を出しています。2025年11月25日にAWSのセキュリティのブログで発表したもので、その日本語訳が2026年10月22日にAWSのブログで公開されました。

ネットワークのスキャンは、資産の洗い出しや脆弱性の確認に使われる一方で、攻撃の下調べにも使われます。AWSは、正しい目的のスキャンと、攻撃者のスキャンを見分けにくいことを理由に挙げています。指針に沿うスキャンは、より正しいデータを集められ、不正として報告されることも減るとしています。

指針が求める4つ

AWSは、この指針に沿っていないと見た通信を、制限したり止めたりする権利があるとしています。この指針は、AWSの侵入テストの方針と、脆弱性の報告の方針を補うものだと位置づけています。

AWSの脆弱性の診断のサービス「Amazon Inspector」も、この指針に沿ってソフトウェアの脆弱性を見つけているとしています。

自社で診断するときは、侵入テストの方針も

自社のAWSの資産を診断するときは、これまでどおりAWSの侵入テストの方針に従います。方針では、EC2のインスタンス、RDS、CloudFront、Aurora、API Gateway、Lambda、Lightsail、Elastic Beanstalkなど、決まったサービスは事前の承認なしに侵入テストができます。一方で、DoSやDDoS(試しのものを含む)、ポートへの大量の送信、Route 53のホストゾーンを通したDNSのゾーンの洗い出しは禁止です。

使う道具やサービスは自由ですが、DoSの状態を起こしたり、その恐れがあるかを試したりする道具は、はっきり禁止されています。道具の設定が正しく、DoSを起こさないようにする責任は、顧客にあるとしています。

影響する会社・しない会社

• 影響する: 外部の診断の事業者や、外から見える資産を調べるサービス(攻撃面の管理、サイバー保険のための評価など)に、AWSの上の仕組みのスキャンを頼んでいる会社です。指針に沿わないスキャンは、AWSに止められることがあります。
• 影響する: 自社でAWSの資産をスキャンや侵入テストしている会社です。侵入テストの方針と、この指針の両方に合っているかを確かめます。
• 影響する: AWSの上で公開の仕組みを動かしている会社です。誰がスキャンしているかを見分ける手がかり(逆引き、ユーザーエージェント)と、不正なスキャンの報告の窓口を知っておくと役立ちます。
• 影響しない: AWSを使っておらず、AWSの上の仕組みのスキャンを誰にも頼んでいない会社です。

情シスが今日やること

1. AWSの上の仕組みの診断を外部に頼んでいるかを確かめ、頼んでいる事業者に、この指針(観察だけ・名乗る・加減する・データを守る)に沿っているかを聞きます。
2. 自社で行うスキャンや侵入テストの手順を、AWSの侵入テストの方針と見比べます。DoSにつながる設定や、禁止の行為が入っていないかを見ます。
3. スキャンの送り元のIPアドレスと、スキャンの期間を、社内の監視の担当と共有し、本物の攻撃と見分けられるようにします。
4. 自社のAWSの資産に、知らない相手からのスキャンが来ていたら、逆引きやユーザーエージェントで送り元を確かめ、不正ならAWSのTrust & Safety Centerに報告します。