Prowler

Prowler は、クラウドのアカウントの設定を読み取り、「S3 バケットが公開されている」のような危ない設定を見つけて一覧にするツールです。AWS では、読み取り専用の権限を付けたユーザーかロールを用意するだけで点検を始められます。

この記事は、AWS などのクラウドを管理していて、設定に穴がないか確かめたい人に向けています。読み終えると、次のことができるようになります。

• Prowler に必要な AWS の権限を用意する
• 自分の AWS アカウントを点検して、レポートを読む
• 調べるサービスや結果を絞り込む

##Prowler でできること

Prowler は、クラウドの API を呼び出して設定を集め、用意されたチェック項目と照らし合わせます。チェック項目は CIS、NIST、PCI-DSS、ISO 27001 などの基準にひも付いているので、どの基準のどの項目を満たしていないかが分かります。

公式が対応している主な対象は次のとおりです。

対象の数はよく増えるので、最新の一覧は公式リポジトリの表か Prowler Hub で確かめてください。

Prowler には、コマンドラインで使う Prowler CLI のほかに、Web 画面で使う Prowler Local Server と、クラウドサービスの Prowler Cloud があります。この記事では Prowler CLI を扱います。

##必要な権限（AWS の場合）

公式ドキュメントは、Prowler を動かすユーザーかロールに、AWS が用意している次の 2 つのポリシーを付けるよう案内しています。

• SecurityAudit
• ViewOnlyAccess

一部のチェックには、これに加えて読み取り用の権限が必要です。公式リポジトリの prowler-additions-policy.json をカスタムポリシーとして付けます。

どれも読み取りのための権限です。点検に書き込みの権限は要らないので、管理者権限の認証情報で Prowler を動かさないでください。

##安全な試し方：自分の AWS アカウントを点検する

1. Python 3.10 以上を用意し、pipx install prowler か pip install prowler でインストールします。macOS と Linux では brew install prowler も使えます。prowler -v でバージョンが表示されれば完了です。

2. 自分の AWS アカウントに、上の権限だけを付けた IAM ユーザーかロールを作ります。

3. その認証情報を AWS CLI のプロファイルとして設定します。

4. プロファイルとリージョンを指定して実行します。

   prowler aws --profile custom-profile -f us-east-1

5. 実行が終わると、output フォルダに CSV、JSON-OCSF、HTML のレポートができます。HTML を開くと、チェックごとの結果（PASS や FAIL）を確かめられます。

初めは -f でリージョンを 1 つに絞ると、短い時間で終わります。

##主な使い方

Prowler は、不合格のチェックがあると終了コード 3 で終わります。CI で止めたくないときは -z（--ignore-exit-code-3）を付けます。

##注意点

##次に読む

• cd ../trivyTrivyコンテナイメージや IaC の設定ファイルを調べるツール