JAWS-UG 朝会 #27の登壇資料です。

1. JAWS-UG 朝会 #27
Control TowerとSIEM on OSSで
あっちこっちした件
美容系ディーラー所属 小林未来

2. アジェンダ
2
・自己紹介
・全ての始まり
・あっちこっちした流れ
・まとめ

3. 3
自己紹介

4. 自己紹介
4
名前：小林未来
所属：美容系ディーラー
趣味：寝起きに開けるビール
経歴：携帯電話販売からのSier営業からの
社内SE兼インフラエンジニア
現状：AWS環境設計と移行準備
好きなサービス：Transit Gateway
AWS歴：1年くらい

5. 5
全ての始まり

6. 全ての始まり
6
AWS上のログ追っていくの大変だなぁ
人員リソースも足りないなぁ
でもきちんとセキュリティと向き合いたいなぁ

7. 全ての始まり
7
まとめて直感的に見れるようにすればいいんじゃね？
AWS上のログ追っていくの大変だなぁ
人員リソースも足りないなぁ
でもきちんとセキュリティと向き合いたいなぁ

8. 全ての始まり
8
まとめて直感的に見れるようにすればいいんじゃね？
AWS上のログ追っていくの大変だなぁ
人員リソースも足りないなぁ
でもきちんとセキュリティと向き合いたいなぁ
SIEM on OSS使ってみよう！

9. 参考：SIEM on OSSとは？
9
・AWSがオープンソースで公開している脅威検知の可視化ツール
・LambdaでETL処理をしてCloudtrail等のログをいい感じに可視化してくれる
・シングルアカウントなら非常に簡単に展開できる
https://github.com/aws-samples/siem-on-amazon-opensearch-service/blob/main/README_ja.md

10. 10
あっちこっちした流れ

11. あっちこっちした流れ：シングルアカウント時代
11

12. あっちこっちした流れ：シングルアカウント時代
12
・シングルアカウントで運用していた
・とりあえずログを投げ込んでいた
・展開も非常に簡単だった

13. あっちこっちした流れ：シングルアカウント時代
13
・シングルアカウントで運用していた
・とりあえずログを投げ込んでいた
・展開も非常に簡単だった
そろそろマルチアカウント意識する？

14. あっちこっちした流れ：マルチアカウント時代
14
・Control Tower構成へ変更
・workloadのみでSIEMしていた
・ガードレール有効化して喜んでた

15. あっちこっちした流れ：マルチアカウント時代
15
・Control Tower構成へ変更
・workloadのみでSIEMしていた
・ガードレール有効化して喜んでた
SIEMはSecurityの方がいいのでは？
全アカウントログとるべきでは？

16. 16
ここからハイライト

17. あっちこっちした流れ：その後のハイライト
17
よーしSecurityアカウントに展開するぞ∼

18. あっちこっちした流れ：その後のハイライト
18
よーしSecurityアカウントに展開するぞ∼
LogArchiveとの使い分けは？

19. あっちこっちした流れ：その後のハイライト
19
よーしSecurityアカウントに展開するぞ∼
LogArchiveとの使い分けは？
役割をきちんと決め直しました
※結局Securityに展開

20. あっちこっちした流れ：その後のハイライト
20
前と同じ方法で展開するぞ∼

21. あっちこっちした流れ：その後のハイライト
21
前と同じ方法で展開するぞ∼

22. あっちこっちした流れ：その後のハイライト
22
前と同じ方法で展開するぞ∼
ちゃんとREADME.mdを読みましょう

23. 23
まとめ

24. まとめ
24
・アカウント設計はちゃんとする
・手順書やREADMEはちゃんと読む
・（全然触れなかったけど）SIEM on OSSはおすすめです