匠朗(14)47この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。はじめに皆さん、こんにちは。最近ぬか漬けを始めたため右手にぬか臭がつき、職場の周りの人に迷惑を掛けていないかドキドキしています。1週間前になりますが、Security-JAWS第11回目に参加しました。以下のとおり、レポートはすでに上がっていますので、私は吉江さんのセッション内で気になったツールを実際に使ってみたいと思います。Shotgun)が紹介されていました。IRについて、ツールの概要と実際に動作確認するまでの流れをご紹介します。IRとは早速ですが詳しくはこちらのサイト(ThreatResponse)をご確認ください。私は英語が全くできませんので、google先生に通訳を依頼して理解した感じですと、マルウェアに感染したり、アクセスキーの情報漏えいといったセキュリティインシデントが発生した際、対象となるリソースへの対応を行うツールです。アクセスキーやインスタンスの操作が可能となっています。利用中のアクセスキーを非アクティブにしたり、利用中のインスタンスを分析用端末からのみアクセス可に変更することも可能です。インスタンスのスナップショットを取得してから停止するといったことも可能となっています。2018年11月16日時点では、アクセスキーとインスタンスのみ対応可能で、LambdaやIAMロールへの対応はCommingSoonでした。Compromisesの概要を説明します。Compromisesインスタンスを操作するコマンドです。gitリポジトリの履歴を見たところ、昔はhost-compromiseだったようですが、現在はinstance-compromiseに変わっています。赤枠で囲ったところがインスタンスを操作するプラグインを示しています。Compromisesアクセスキーを操作するサブコマンドです。赤枠で囲ったところがアクセスキーを操作するプラグインを示しています。指定したアクセキーを用いたセッションを取り消すやってみたアクセスキーの非アクティブ化とインスタンス停止およびスナップショットの取得をやってみます。前提マネージメントコンソール上で以下サービスの基本的な操作ができることを前提にしています。そのため、詳細な操作手順は用意しておりませんのでご了承ください。IRをインストールする公式サイトのインストール手順に沿って構築していきます。インストール方法は複数ありますが、今回はDockerを使用します。Dockerのインストール手順については、公式サイトをご確認ください。ちなみに私は、MacOS用をインストールしました。IRで必要となるAWS環境を構築するCloudFormationのテンプレートが用意されているため、簡単に作成することができます。cloneしてきたディレクトリ内にも存在します。入手したテンプレートを元にスタックを作成します。IRを実行すると、S3をListBucketする際に権限が足りずエラーで処理が止まります。私の力では解決できなかったので、今回は一旦動作確認のために、Resourceでバケットの指定を追加して先に進みました。時間を見つけて原因を探ります。IAMユーザーを追加するユーザー名は何でも良いです。グループの選択では、CloudFormationで作成したIncidentRespondersを指定します。アクセスキーIDとシークレットアクセスキーが表示されますので控えてください。今回利用したCloudFormationテンプレートでは、IAMユーザへのMFAデバイスの割り当てが必須でスタックが作成されます。IR実行時に必要になりますのでMFAデバイスを割り当てた後、arnを控えてください。CloudFormationで作成されたResponderRoleのarnを控えます。沿って構築していきます。CLIをインストールします。credentials最後に、テンプレートで作成したロールにスイッチできるようにconfigを編集します。default動作確認アクセスキーを無効化する動作確認で使うアクセスキーを作成します。作成時は当然アクティブです。作成したアクセスキーのIDを指定して以下のコマンドを実行します。arn:aws:iam::xxxxxxxxxxxx:mfa/awsir:#すると、、、アクティブであったものが非アクティブ化されました!インスタンスを停止してスナップショットを取得する動作確認用にEC2インスタンスを1台起動し、パブリックIPを控えます。インスタンスのパブリックIPやSSH鍵を指定して以下のコマンドを実行します。stop_host.#すると、、、インスタンスは停止されスナップショットが取得されました!おわりに幸いなことに、これまでのエンジニア人生の中でセキュリティインシデントに遭遇したことはありませんが、コマンド1行で対象のインスタンスを隔離または削除、その時点での情報収集ができるのは便利だと感じました。IRを使う前にそもそもAWSの初歩的なところで躓くところが多々ありました。ブログ化するまでに1週間も掛かり、鮮度が落ちて残念な気持ちです。今度はもっと早くアウトプットできるように頑張ります!以上です。141,960元道民です。息子に尊敬してもらえるエンジニアになりたいです。リモート】クラスメソッドの会社説明会を開催しますクラスメソッドでは、AWS・AI・ビッグデータ・モバイルなどの技術職や営業のメンバーとして一緒にお仕事をする仲間を大募集しています。#cmdevio新型コロナウイルスの感染拡大を受け、本イベントを延期させていただくことになりました(開催時期未定)。お申し込みいただいた皆様には大変申し訳ございませんが、何卒ご理解いただけますようよろしくお願いいたします。AWSについてライトに色んな情報交換をしましょう。カフェ店長のオカノです。今日はオフィスに用があるので、通勤ラッシュを避けて出社しました。この子は新メンバーのさめくんです。在宅勤務が推奨されているのでオフィスが閑散としており、すこしさみしそうです。本が出ていたので読んでみたところよかったので紹介させていただきます。使いたいときの注意点を書きました。新井成一64最近Sphinxつかってドキュメントを書いてるのですがなかなかイケています。臼田佳祐295ワークフロー自動化OSSのn8nをAWS環境で建てて検証してみました。非常に期待できるサービスです。Fargateの勉強をしています。使ってみたい方は参考にしてください。洋介255SnowflakeがAWSの東京リージョン上で稼働するようになりました。データを日本に置けます。芳賀健232こんにちは!猫様の忠実なるしもべ、芳賀健です。Tokyoで開催されました。カフェ店長のオカノです。クラスメソッド株式会社が運営するAWS・iOS・HTML5に関する技術情報サイトです。