【AWS利用者必読】パスワード+MFAでは防げないAWS不正アクセスを防ぐ方法。人生やまありスマートフォン用の表示で見る人生やまあり大学卒業後IT会社に就職してITをやってます。2015-04-07【AWS利用者必読】パスワード+MFAでは防げないAWS不正アクセスを防ぐ方法。はてブFacebookGoogle+TwitterPocket<スポンサードリンク>必要なときに必要な分だけ利用できるパブリッククラウド。非常に便利な反面、AWSやAzureなどへの不正アクセスが発生し、数百万円も請求される事例が発生しているようです。Watch私も1年前の4月にAWS乗っ取りとその対策について記事を書いていました。AWSのアカウントのっとり、認証キーの奪取に注意!数百万の高額請求される事案が発生しています。人生やまあり今回はAWS不正アクセスに対して、IAMのパスワード変更や、MFAデバイスのワンタイムパスワードを利用した2要素認証で防げると勘違いされている方もいるようなので、不正アクセスの仕組と、その対策方法とについて詳しくまとめたいと思います。<内容>AWSが不正利用される原因パスワードの複雑化、変更やワンタイムパスワード導入では防げない理由AWS不正アクセスされないための方法AWS不正アクセス検知方法AWS不正アクセスが発覚した場合の対処法AWSへ不正アクセスされる原因AWSへのアクセス方法まず不正アクセスを理解するためにAWSへのアクセス方法を説明します。AWSへのアクセス方法は大きく分けて2つあります。1つはAWSルートアカウントを利用したログインと、IAMを利用したログインです。AWSを利用するために登録するアカウントで、メールアドレス+パスワード(+ワンタイムパスワード)で認証されます。EC2やS3などのAWSサービス利用、請求管理のほか、AWSサービス解約さえできてしまうすべての権限を持ちます。アクセス元IPや操作権限を絞ることができないため、MFAデバイスを利用したワンタイムパスワードが必須。AWSルートアカウント内に作成できる子アカウントのようなもの。IAMユーザ、IAMグループ、IAMロールなどがある。AWSルートアカウントではなくIAMを利用することを強く推奨いたします。AWSも正式にIAMを利用することを進めております。ログインするための3つの認証方法AWSルートアカウント、IAMユーザを利用してAWSにアクセスする場合に、どちらも大きくわけて3つの認証方法があります。facebookやtwitterなどのSNSログイン同様、IDとパスワードでのログインです。AWSルートアカウントの場合はIDがメールアドレス、IAMユーザの場合はIAMユーザ名がIDになります。必要に応じてMFAデバイスを利用したワンタイムパスワードの設定ができます。AWSマネジメントコンソールを利用してWebログインする場合に利用されます。アクセスキー、シークレットキーの組み合わせで認証する方法です。AWSルートアカウントやIAMユーザ毎に複数発行することができます(すでにルートアカウントへの発行はできなくなっている。CLIやSDKなどのAPIアクセスする場合に利用されます。勘違いされますが、ここにワンタイムパスワードを設定することはできません。後述しますが、AWS不正アクセスで高額請求される大部分はこの認証キーが外部に漏れたことが原因です。Certificate(X.509証明書)を利用した認証。最近ではほぼ利用されなくなったので説明割愛。「3つの認証方法がある=AWSにアクセスするための入り口が3つ存在する」ことになります。「AWSのアカウントのっとり、認証キーの奪取に注意!数百万の高額請求される事案が発生しています。diary」の記事ででてくるほとんどの事例が、2番目の認証キーをスクリプトに埋め込んだままGitHubなどに公開されてしまい、認証キーが漏洩したことによる不正アクセスが原因ということがわかります。はてブコメントを見えていると、「パスワード見直そう」「ワンタイムパスワード設定しよう」というコメントが多数見受けられますが、これは「ID+パスワード」の入り口を守っているだけで、AWS不正アクセスの根本的な解決にはなりません。(もちろんID+パスワードがハックされることによる不正アクセスもあります)不正アクセスから守るためには、それぞれの入り口に対して、適切な対応を実施する必要があります。他のパスワードを使いまわさない。パスワードは複雑なものを利用する。英数字記号が混じったものにする。名前、誕生日など推測されやすいワードを利用しない。定期的にパスワードを変更する。MFAデバイスを利用したワンタイムパスワードを設定する!こちらは他のWebサービスを利用する場合でも同じなのでみなさん馴染みがあると思います。Authenticator(Googlenつくったワンタイム発行アプリ)が利用できます。大きなリスクをおうことになります。)最小限に権限を絞ったIAMユーザに対して認証キーを発行する!絶対にスクリプトにハードコーディングしたものを公開しない!可能な限りIAMロールを利用する!AWS不正アクセス検知方法Billingアラートの設定BillingとSNSアラート機能を利用して、AWS利用料金に合わせてアラートメールを発行することができます。可能な限りはやく検知するためにも必ず設定しましょう。Logsを利用してあくまで簡易版ですが不正ログイン検知することができます。ログイン認証失敗回数や、ログイン元IPを検知しアラートメールを飛ばす設定をいれます。diary」を参考にのようにAWSに相談する実際に多額の請求をされた後の対応は下記に詳しく書いてありますので、そちらをご参照ください。皆さん、自分の銀行口座番号と暗証番号を周りに教えたりしないですよね?AWSの不正アクセスはAWSサービスに問題があるわけではなく、まさに「自分の銀行口座番号と暗証番号を世界中に公開」してたことが原因になります。自分の身は自分で守る。各自が徹底することで不正アクセスからの多額の請求が無くなること、そしてビットコインの発掘のような不正利用が無くなることを願っています。06:57【AWS利用者必読】パスワード+MFAでは防げないAWS不正アクセスを防ぐ方法。不労所得に興味がある方であれば、一度は皆アフィリエイトによ...2014-07-15SNSやインターネットのパスワードに絶対利用してはいけない9つのパターンLINEやFacebook、Twitterを利用したアカウント乗っ取り・詐欺や...2014-04-14AWSのアカウントのっとり、認証キーの奪取に注意!数百万の高額請求される事案が発生しています。【ポケモンGo】アプリアップデートでTestFlightに誘導される不具合大量発生中ポケモンGOは日本でいつ配信?すでにアメリカでは人気爆発!!月別アーカイブプロフィール大学卒業後IT会社に就職してITとか採用とか営業とかをやってます。いろんなビジネスについて、個人的な目線で書いていきます。読者になるスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。