Recommended
Recommended
More Related Content
What's hot
What's hot (20)
Similar to クラウドセキュリティFAQ セキュリティ対策を分解して考える
Similar to クラウドセキュリティFAQ セキュリティ対策を分解して考える (20)
Recently uploaded
Recently uploaded (11)
クラウドセキュリティFAQ セキュリティ対策を分解して考える
- 2. 自己紹介 • AWS事業部 • 阿部 洸樹 • アーキテクトグループ（設計/構築） • セキュリティチーム • AWS資格5冠 2
- 3. 本セッションでお伝えすること 3 • セキュリティ対策は難しい • 対策を分解して考える事が大切 • よく行う対策
- 10. 責任共有モデル AWSの担当 = クラウドのセキュリティ ユーザーの担当 = クラウド内のセキュリティ ハードディスクの廃棄 データセンターのセキュリティ 適切なAWS設定（ネットワーク、アカウント） OS、アプリケーション 10 https://aws.amazon.com/jp/compliance/shared-responsibility-model/
- 13. 人のセキュリティ対策 必須 • 出かける前に戸締りをする • 遅い時間帯の外出は避ける • 治安の悪い場所には近づかない 13
- 14. 人のセキュリティ対策 オプション • 警備サービスに加入する • 番犬を飼う 家や家にいる人を守る 人を守る • ボディガードを雇う 14
- 18. EC2の必須セキュリティ対策 オンプレミスと同様 • 最新のOSを使う • 最新のアプリケーションを使う 脆弱性をついた攻撃を軽減 アクセス制限 • 悪意のある人がアクセス出来ないようにする 18
- 19. EC2 アクセス制限の基本 SecurityGroup • インスタンス単位 • Inbound/Outbound • Permit • ステートフル NACL Security Group EC2 19
- 20. EC2 アクセス制限の基本 SecurityGroup NACL HTTP 0.0.0.0/0 SSH 自拠点のIPアドレス Inbound Outbound ALL 0.0.0.0/0 最低限の許可 基本はALL許可 要件に応じて制御 20
- 21. VPC Subnet VPC Subnet EC2 アクセス制限の基本 NACLSecurityGroup • サブネット単位 • Inbound/Outbound • Permit/Deny • 番号順にルール適用 • ステートレス 21
- 22. EC2 アクセス制限の基本 NACLSecurityGroup ALL Deny BlockしたいIP ALL Permit 0.0.0.0/0 OutboundInbound ALL Permit 0.0.0.0/0 デフォルトは許可 IP指定でブロック 基本はALL許可 要件に応じて制御 22
- 25. オプション AWSサービス パートナー • 気楽に試せる 25 • AWSでは出来ないこと • EC2にインストール • AWS Marketplace • 外部SaaS
- 26. 26 AWSサービス オプション
- 27. AWS API記録 AWS CloudTrail • 有効化を強くオススメ • AWSで実行されたAPIを記録 • 弊社では全アカウントで有効 27 http://www.slideshare.net/AmazonWebServicesJapan/aws-black-belt-online- seminar-2016-aws-cloudtrail-aws-config
- 28. AWS構成管理 AWS Config • 有効化をオススメ • AWSの構成記録 • AWSリソースの作成/変更を記録 • タイムラインで可視化 28 http://dev.classmethod.jp/cloud/aws/aws-config-
- 29. DDoS対策 AWS Shield • ELB、CloudFront、Route53に自動適用 • L3/L4 DDoS攻撃に対する保護 • DDoS レスポンスチームへのアクセス（Advanced） 29
- 30. WAF（Web Application Firewall） AWS WAF • WAF機能 • 用意されているシグネチャが少ない 30
- 31. プラットフォーム診断 AWS Inspector • プラットフォーム診断 • エージェント型 • CVE（OSやミドルウェアの脆弱性） • CIS（OSやミドルウェアの設定） 31 http://www.slideshare.net/AmazonWebServicesJapa n/aws-black-belt-online-seminar-amazon-inspector
- 34. マルウェア対策 Anti-Virus • マルウェア対策 • バーチャルアプライアンス型 • ホスト型 34
- 35. WAF • SaaS型（Imperva Incapsula） • バーチャルアプライアンス型（F5 BIG-IPなど） • ホスト型（Trend Micro Deep Securityなど） WAF 35 http://dev.classmethod.jp/security/getting-started-waf/
- 39. 39 まとめ まとめ
Editor's Notes
- クラウドセキュリティFAQ セキュリティ対策を分解して考える と題して、 私 クラスメソッドの阿部が発表させていただきます。 資料は遅くとも明日中には弊社のブログにアップしたいと思います。
- まず、自己紹介させてください クラスメソッドAWS事業部の阿部と申します。 主にAWS環境の設計/構築を担当しています。 また、セキュリティ製品の評価、導入を行うセキュリティチームにも所属しています。
- 本セッションでお伝えすることは3つあります。 1つ目に、セキュリティ対策が難しいという事です。 2つ目に、難しいからこそ対策を分解して考えることが大切ということ。 最後に具体的なよく行う対策です。 今日はセキュリティをふわっと語らずに、AWSのセキュリティ対策を具体的にお伝えしたいと思います。
- セキュリティ対策について、「何をしたらよいかわからない」「難しい」とお考えのかたは多いのではないでしょうか。 「簡単だ」とお考えのかたは多分、いないと思います。 なぜ、難しいと感じるのかを整理したいと思います
- ３つ理由をあげてみます。 1つ目ですが、完璧なセキュリティ対策は存在しない事があげられます。 これをやっておけば、まるっと100％安全といった対策はありません。
- 2つ目ですが、いい感じの対策が望ましい という事があげられます。 セキュリティ対策は、お金がかかる、手間がかかる一面があります。 お金や手間がかからないが、まるっと守ってくれるそんな対策が望ましいわけです。 でも、そんな対策は存在しません。
- 3つ目ですが、セキュリティという言葉が便利に使われている事に尽きるかと思います。 セキュリティという言葉は様々なシーンで利用されます。OSやアプリケーションの脆弱性、DDoS対策、内部不正、ログ管理、アンチウイルス、WAFなど例を挙げるときりがありません。 便利に使われている言葉だと思います。
- セキュリティという言葉が便利に使われているので、対策として何をなればいいのかが見えづらくなっています。 セキュリティ対策では、分解して考える事が大切 です。 分解する事で、私たちが扱えるレベルまで落とし込んでいきます。
- まずは、担当者で分解します。 これにより、AWSとユーザーに分けることが出来ます。
- 責任共有モデルをご存知でしょうか？ AWSのセキュリティは、AWSとユーザーで確保します。 AWSはクラウドのセキュリティを担当し、ユーザーはクラウド内のセキュリティを担当します。 具体的にいうと、AWSはハードディスクの廃棄や、データセンターのセキュリティといった物理インフラまわり ユーザーは、AWS上でネットワークやアカウントを適切に設定/管理することや OSやアプリケーションを担当します。
- セキュリティ対策を担当者で分解しました。 AWSの担当箇所はAWSに任せてしまいましょう。 我々はクラウド内のセキュリティに注力します。
- セキュリティ対策をさらに分解します。 要件で分解します。 要件に関わらず、なるべく対応すべき必須の対策と、要件に応じて行うオプションの対策に分かれます。
- AWSを一旦、離れて人のセキュリティ対策で考えたいと思います。 必須の対策として３つあげてみました。 出かける前に戸締りをする 遅い時間帯の外出は避ける 治安の悪い場所には近づかない これらは子供、大人、財力など関係なく、全員がなるべく対応すべき内容だと思います。
- オプションの対策としては、SECOMのような警備サービスに加入したり、番犬を飼うといった対策があります。 家をどろぼうから守ったり、家にいる人を守ることが出来ます。 ただし、警備サービスや番犬は通勤/通学中の人を守ってくれません。 そこで、ボディガードを雇う 対策も考えられます。 ボディガードを雇うとなると、高いですし、周りから見た目的に浮くと思うですが、それでも良ければ雇うことになると思います。
- セキュリティ対策を要件で分解しました。 必須の対策をしつつなるべく行いつつ、要件に応じて追加の対策を行うと良いことが言えます。
- AWSに戻りたいとおもいます。 AWSはサービスがたくさんありますが、よく使われるEC2を中心に分解します。
- EC2のセキュリティ対策も、必須とオプションに分解されます。 必須のうち、AWS固有化か否かという観点で、さらに分解します。 オンプレと同じとスライドにありますが、オンプレミスでもクラウドでもやるべき対策と AWSならではの対策 に分けられるという事を意図しています。
- オンプレミスと同様の対策としては、 脆弱性をついた攻撃を防ぐ、軽減する観点で、最新のOS、アプリケーションを使うということが挙げられます。 古いOSやアプリを使うと、その脆弱性をついた攻撃をうけてしまいます。 またOSやアプリはサポート期限が設けられていることが多いので、古いバージョンを使っているとセキュリティパッチが提供されないリスクがあります。 アクセス制限も重要だと考えます。 オンプレミスでは、ルータやUTMのファイアウォールや、Linuxのiptablesなどで制限をかけているかと思います。 EC2でのアクセス制限について、深掘りしていきます。
- EC2のアクセス制限として使うのは、主にセキュリティグループとネットワークACLです。 セキュリティグループについて、整理したいと思います。 セキュリティグループはインスタンス単位で設定します。 InboundとOutbound、つまり受信と送信について、許可する通信を指定します。 ステートフルで許可されるので、戻りのパケットについては自動的に許可されます。
- セキュリティグループの例をご説明します。 Inboundでは、必要最低限の許可を指定します。 一般公開するWebサーバであれば、送信元をHTTPをインターネット全体からアクセスできるようにし、 管理用のSSHは、自分の許可点のIPアドレスのみ許可します。 SSHのような管理用のポートは、なるべく送信元をしぼる、 許可するポートは最低限にすることがポイントです。 Outboundはすべて許可することがおおいです。 NTP、OSパッチのダウンロード、AWS APIを実行する事を考えると、慎重に絞り込む必要がありそうです。
- ネットワークACLはサブネット単位で設定します。 InboundとOutboundの考え方はセキュリティグループと同じです。 セキュリティグループとは違い、許可と拒否を指定できます。 また、ステートレスなので戻りの通信についても、許可を記載する必要があります。
- よくあるネットワークACLの使い方をご紹介します。 Inboundでは、デフォルトは許可とします。 ブロックしたい通信がある場合は、優先順位を高くして拒否ルールを記載します。 アプリケーションログから、攻撃をうけたことがわかった場合などに利用します。 Outboundはセキュリティグループと同様絞らないことが多いです。 絞る場合は、必要な通信までブロックしないように注意します。
- AWS固有の対策については、ブログにまとめたのでそちらをご覧ください。 続きはWebでという形になってしまい、申し訳ないです。
- 要件に応じて行う対策については、手段で分解します。 AWSサービスを使う方法と、AWSのパートナーの製品を使う方法に分解します。
- AWSサービスは、気楽に試せることがメリットだと思います。 パートナーやサードパーティツールは、AWSで出来ないことやAWSサービスでは機能が不足する場合に活躍します。 利用方法としては、大きく3つあります。 アンチウイルスソフトのようなEC2にインストールして使うタイプ AWS MarketplaceからEC2として起動するタイプ 外部SaaSとして利用するタイプにわかれます
- AWSサービスで行うセキュリティ対策をご紹介します
- まず、AWS CloudTrailです。 有効化を強くおすすめします。 AWSで実行されたAPIを記録するサービスです。 AWSで不正操作が行われた際の調査に使ったり、監査に利用できます。 弊社では全アカウントで有効化しています。
- 次にAWS Configですが、こちらも有効化をおすすめします。 AWSリソースの構成変更記録をとることが出来るサービスです。 具体的にいうと、セキュリティグループを作った、ルールを追加した、ルールを削除した。 そういった記録をタイムラインで可視化できます。 変更時にメールを飛ばすこともできます。 詳しいことは、リンクをはっておいたのでブログをご覧ください。
- AWS Shiledは比較的最近発表されたサービスです。 ALB、CloudFront、Route53に対するDDoS保護が提供されます。 追加料金なしで自動適用されますので、皆さんの環境でも有効になっています。 専任のチームとのコンタクトが必要な場合は、Advancedを利用します。 Advancedは別途費用がかかります。
- Web Application Firewallについても、AWSで利用できます。 AWS WAFといいます。 容易されているシグネチャつまり攻撃パターンが少ないので、 AWSパートナーのWAF製品を使うケースが多いです。
- 脆弱性診断では、AWS Inspectorが利用できます。 特徴としては、プラットフォームの診断、つまりOSやミドルウェアNWの診断を行います。 EC2にエージェントをインストールする、エージェント型になっています。 CVEやCISといったルールに基づいて、脆弱性を確認します。 詳しい内容は、AWSのオンラインセミナーがわかりやすいのでリンクをはっておきました。
- パートナーが提供する製品やサービスで、よく話にあがるものをご紹介します。
- 主にリモートメンテナンスで利用されることが多いのがSSL-VPNです。 メンテナンス拠点のIPアドレスが絞れない場合や、 接続先のインスタンスを絞ったり、ログを残したいときに利用します。 利用形態としては、 AWS上のバーチャルアプライアンスと、作業端末間でSSLVPNをはり、 バーチャルアプライアンス経由で、SSHやリモートデスクトップ接続する形です。
- マルウェア対策としては、Anti-Vuirusがあげられます。 バーチャルアプライアンス型と、ホスト型がありますが、多いのはホスト型だと思います。 皆さんのPCにも入っていると思いますが、EC2にインストールして使う形です。
- ウェブアプリケーションの保護としては、WAFが有効です。 利用形態として、3つあります。 1つ目に、AWSの外で保護するSaaS型です。ユーザー側でEC2の用意やメンテナンスが要らない点で有利です。 2つ目に、EC2として使うバーチャルアプライアンス型。F5さんのBIG-IPはバーチャルアプライアンス型に該当します。 ユーザー側の自由度が高い点で有利です。 3つ目に、EC2にインストールして使うホスト型です。 詳しいことは、リンクを張っておきましたのでブログをご覧ください。
- セキュリティ製品を選ぶ前に、抑えておくべきポイントをご紹介します。
- ポイントを2つあげます。 まず、何を何から守りたいのかをはっきりさせる事が重要です。 EC2をマルウェアから守りたいのであれば、AntiVirusソフトが有効ですし、 内部不正を防ぎたいのであれば、SSLVPNでログをとったり、CloudTrailやAWS Configなどが有効です。
- 2つ目にセキュリティ製品によって、起こる運用の手間や誤検知などの副作用の確認です。 Anti-Virusであれば、正常なファイルをウイルスと判断してしまうリスクがあります。 また、全般的にいえることですがエージェントやファームウェアのバージョンアップなどの対応が必要になります。 こういった副作用を考えると、オンプレミスで使い慣れた製品をAWSでも使うのは有効だと思います。
- まとめに入ります。
- セキュリティ対策を分解して、考えました。 セキュリティ対策を、まずは担当者で分解しました。 AWSの担当と、我々ユーザーの担当があります。 AWSの担当はAWSに任せましょう。 ユーザーの担当のうち、必ず実施すべき必須と要件に応じて実施するオプションにわかれます。 必須の対策をやってこそ、オプションの対策がいきるので必須の対策はなるべく実施すべきだと思います。 必須の対策はオンプレミスと同じものと、AWS固有のものにわかれます。 クラウドで全てがガラッと変わるわけではないので、変更点をおさえて頂ければだいじょうぶです。 オプションの対策については、AWSサービスを使う方法とパートナー製品を使う方法にわかれます。 オンプレミスで使い慣れたパートナーの製品をAWSでも使うのは有効だと思います。
- 最後のまとめです。 セキュリティやセキュリティ対策という言葉は漠然としているので、分解して考えることが重要です。 必須の対策をベースにして、要件に応じて追加の対策を行うと、セキュアなシステムを作れると思います。 弊社では、AWS環境のコンサルティングやセキュリティ製品の導入を行っていますので、何かあればお気軽にご相談ください。 以上で終わります。ありがとうございました。