臼田佳祐(129)252252件のシェア(すこし話題の記事)こんにちは、臼田です。TOKYO」にて「AWSでのセキュリティ対策全部盛り[初級から中級まで]」というタイトルで登壇しましたので、その資料を公開します。補足とか発表内容への思い一番言いたいのは、セキュリティはみんなでやるものだから視野を広く持ってもらいたいし、周りを巻き込んで欲しいということです。一つの目の前の事象に対して対策を頑張るだけでは意味がなくて、仕組みとして解決したり、組織として解決したり(特に運用)とする必要があります。セキュリティに限った話ではないですが。網羅的にいろんなセキュリティをまとめつつ、これまで気にしてなかった事を気にしていただき、少しでも皆さんの組織が前に進んでもらえたらなーと思ってまとめました。AWSのメッセージについて最近下記のメッセージをよく聞きます。ゲートからガードレールへみんなBuildersどちらも非常にいいメッセージなので、僕なりに解釈して伝えてみました。セキュリティに限らず広まって欲しい考え方です。セキュリティ対策の進め方についてセキュリティ対策って難しいです。完璧もないですし、守るべきものや自分たちのステージに応じて変わります。クラウドジャーニーやビジネスの成熟度に応じて適切に判断してやっていく必要があります。Dome9は素晴らしいクラウドのコンプライアンス管理製品ですが、小さい環境には宝の持ち腐れです。スケールに合わせて最適なものを選択していきましょう。いう面では今回初級から中級と銘打ちましたが、スケールが小さくても初級の一部と中級の一部をいい感じにやっていく必要があると思います。レベル感のまとめ方も難しいなーorzでもできることなら初級は全部押さえて中級に望んでほしいです。この判断基準を作るのがセキュリティの中で一番難しい気もしますねw自分で判断することに困ったら弊社にご相談くださいw各種フレームワークやコンプライアンスのドキュメントについていっぱいあって読むのが大変だと思うのでとりあえず必要なものだけピックアップしました。AWSセキュリティベストプラクティス、Well-Architectedフレームワークはまず見ていただいたほうがいいです。NISTのCSFは結構重たいのと範囲が広い感じがするので余力があれば。これらを使う大事な考え方は、「自分たちで基準を作らなくていい」ということです。車輪の再発明は無駄です。グローバルな基準をベースに、自分たちに合わせて少し手を加えるくらいで十分です。クラウドになると考え方を変える必要があるので、古いチェックシートを捨てるためにも、使える基準をうまく使っていきましょう。AWSレイヤーのセキュリティこれはAWSを扱う上で新しい概念なのですべて覚えて実践しましょう。OS/アプリレイヤーのセキュリティこれはオンプレミスと同じなので引き続きやりましょう。楽になる部分は多いです。使えるサービスを使いましょう。アプリセキュリティがわからないのであれば徳丸本を。脆弱性対策はいくつかのレイヤーがありますが、とりあえず診断したことなければ診断しましょう。管理したことなければFutureVuls入れましょう。WAFも安くて入れやすいのでとりあえずやってもいいと思います。運用設計してください目的が決まれば運用設計は迷うことは少ないはず。AWSだと勝手にメトリクスが収集されて簡単にモニタリングやアラート設定ができるので、最低限やりましょう。インシデントレスポンスこのあたりをガッツリ話したかったですが、網羅的に資料を作ったらあんまりガッツリ話す時間がありませんでした(悲しみ)。一人じゃなくて組織でという要素が強くなってきます。全体の仕組みづくりから考えていくことになりますね。運用設計の範囲内でもあると思います。いろんな事を検知することになりますが、ここではGuardDutyとConfigの例を上げています。セキュリティという面ではまずはここからですね。重要なのは受け取ったアラートをどう判断してどう対応するか。GuardDutyなら参考になる公式ドキュメントがあるのでそれベースに考えることと、本当にやばいものが来たときのための準備は事前にしておいてください。Ruleはそれぞれ目的があってルールを選択するはずなので、これも対応方法の準備は困らないはずです。本当はサービスのモニタリングもここに食い込んできます。Logic使っていただくと可視性は上がるので、余力があれば検討いただくといいと思います。リクルートテクノロジーズ様の資料は非常にためになります。コンプライアンス)直近re:Inforceの話を聞いて特に興味深かったのでこれも掘り下げたかった内容の一つです。簡単に下記のようにまとめてみましたが、わかりやすいかどうか、的確に捉えているかどうかは正直難しいところですねwビジネスに見合うリスク管理をして適度に監査をするのを状況に合わせてひたすら回すとりあえずガバナンスやコンプライアンスを考え始めたら、ビジネスとのバランスを意識することが特に重要になってきます。(最初から重要ですけど)そういう意味でCCoEみたいな組織があれば判断できる軸は持てると思います。個人であーだこーだ出来ないでしょうし。Foundatoinsです。これをinsightwatchを使いながら実践してほしいです。Rulesを書いていくという進め方でいいと思います。Organizations周りのサービスが充実してきていますが、我々からするとまだ使いづらい部分もあり要望をいろいろあげているところでもあります。ハマる環境であれば今からでも導入を検討しつつ、すぐに適用出来ないような環境であれば仕組みを真似しましょう。Organizationsの機能を使わなくてもできることはいっぱいあります。(CaC)はとてもおもしろい考え方だと思うので紹介したかった内容です。冗長で解釈によってブレが大きい文章でのコンプライアンスチェックシートなんて蹴散らして、コードでコンプライアンスを定義してコードで管理しましょう。自動化しやすいのもいいです。自動化の目的と手段が逆転しないのもいいところだと思います。全体まとめ色んな要素のセキュリティに触れましたが、最初に書いたとおりセキュリティは一人でやるものではないですから、この内容をできるだけ多くの人と共有して、前に進んでほしいなーと思います。1,297,211AWSとセキュリティを頑張る。リモート】クラスメソッドの会社説明会を開催しますクラスメソッドでは、AWS・AI・ビッグデータ・モバイルなどの技術職や営業のメンバーとして一緒にお仕事をする仲間を大募集しています。#cmdevio新型コロナウイルスの感染拡大を受け、本イベントを延期させていただくことになりました(開催時期未定)。お申し込みいただいた皆様には大変申し訳ございませんが、何卒ご理解いただけますようよろしくお願いいたします。AWSについてライトに色んな情報交換をしましょう。濱田孝治391re:Invnetの動画検索でもめちゃくちゃ便利ですが、その他ブログやホワイトペーパーやGitHubも横断検索できるので、是非一度使ってみてください。CAFEの他、NTTデータとセブンイレブンの取り組みや、サインポスト、Zippinなどの各社と流通・小売業との連携を業界マップに作成してみました。PolicyのConditionにaws:CalledViaというキーが追加されました。いったキーなのかご説明します。夏目祐樹410こんにちは、CX事業本部の夏目です。MacのタッチバーのタッチIDが非常に便利なのですが、Terminalでsudoを叩かないと行けないときに使えたらなぁと思ったので、情報を共有します。濱田孝治391re:Invnetの動画検索でもめちゃくちゃ便利ですが、その他ブログやホワイトペーパーやGitHubも横断検索できるので、是非一度使ってみてください。臼田佳祐296ワークフロー自動化OSSのn8nをAWS環境で建てて検証してみました。非常に期待できるサービスです。Fargateの勉強をしています。使ってみたい方は参考にしてください。洋介256SnowflakeがAWSの東京リージョン上で稼働するようになりました。データを日本に置けます。クラスメソッド株式会社が運営するAWS・iOS・HTML5に関する技術情報サイトです。