ここからはじめるAWSセキュリティ

Developers.IO 2017セッション
#cmdevio2017

Transcript

1. ͔͜͜Β͸͡ΊΔ"84ηΩϡϦςΟ 
   Ѩ෦ᔨथ
2. εϥΠυͱϨϙʔτ͸ޙ೔ Developers.IOʹͯެ։͠·͢ Attention
3. ࣗݾ঺հ  Ϋϥεϝιουגࣜձࣾ "84ࣄۀ෦ Ѩ෦ᔨथʢ!"CFJLBʣ "84ࢿ֨ף
4. ຊηογϣϯͷΰʔϧ  ᶃηΩϡϦςΟରࡦ͕େ੾ͳཧ༝Λཧղ͢Δ ᶄ"84ͷηΩϡϦςΟʹؔ͢ΔΞΫγϣϯ͕Θ͔Δ
5. ΞδΣϯμ  w৘ใηΩϡϦςΟͱ͸
   w *".ͷॏཁੑͱϕετϓϥΫςΟε
   w ূ੻ͷऔಘ
   w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
   w &$ͷجຊతͳηΩϡϦςΟରࡦ
   w ϚωʔδυαʔϏεͷݕ౼
   w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
   w ิ଍
6. ৘ใηΩϡϦςΟͱ͸  ̏େཁ݅ɺ̏ཁૉͱ΋ݺ͹ΕΔ ػີੑʢ$POpEFOUJBMJUZʣ ׬શੑʢ*OUFHSJUZʣ Մ༻ੑʢ"WBJMBCJMJUZʣ ༷ʑͳڴҖ͔Βɺ৘ใࢿ࢈Λ
   ػີੑɺ׬શੑɺՄ༻ੑͷ֬อΛߦ͍ͭͭɺ
   ਖ਼ৗʹҡ࣋͢Δ͜ͱ
7. ػີੑ  ৘ใࢿ࢈Λਖ਼౰ͳݖརΛ࣋ͬͨਓ͚͕ͩ ࢖༻Ͱ͖Δঢ়ଶʹ͓ͯ͘͜͠ͱ
8. ػີੑ͕ଛͳΘΕͨঢ়ଶ  څ༩৘ใ Ӧۀσʔλ ਓࣄ෦ Ӧۀ෦
9. ػີੑ͕ଛͳΘΕͨঢ়ଶ  څ༩৘ใ Ӧۀσʔλ ਓࣄ෦ Ӧۀ෦ ϑΝΠϧαʔόઃఆͷޡΓ
10. ػີੑ͕ଛͳΘΕͨঢ়ଶ  ഇغґཔ ۀऀ
11. ػີੑ͕ଛͳΘΕͨঢ়ଶ  ഇغґཔ ୈࡾऀ΁ͷԣྲྀ͠ ۀऀ
12. ׬શੑ  ৘ใࢿ࢈͕ਖ਼౰ͳݖརΛ࣋ͨͳ͍ਓʹΑΓมߋ͞Ε ͍ͯͳ͍͜ͱΛ࣮֬ʹ͓ͯ͘͜͠ͱ
13. ׬શੑ͕ଛͳΘΕͨঢ়ଶ  ̋̋ͷϗʔϜϖʔδ 8FCվ͟Μ ίϯςϯπվ͟Μ Ϛϧ΢ΣΞ഑෍
14. Մ༻ੑ  ৘ใࢿ࢈Λඞཁͳͱ͖ʹ࢖༻Ͱ͖Δ͜ͱ
15. Մ༻ੑ͕ଛͳΘΕͨঢ়ଶ  ̋̋ͷϗʔϜϖʔδ %%P4߈ܸ ਖ਼౰ͳϢʔβʔ Ϙοτωοτ
16. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w*".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍
17. *".ͷॏཁੑ  IAMͷྲྀग़΍ѱ༻͸ 3େཁ͕݅ଛͳΘΕΔ Մೳੑ͕͋Δ
18. ػີੑ͕ଛͳΘΕͨঢ়ଶ  ෆਖ਼μ΢ϯϩʔυ 4όέοτ
19. ׬શੑ͕ଛͳΘΕͨঢ়ଶ  ઃఆมߋ
20. *".͕ѱ༻͞Εͳ͍ͨΊʹ  IAMͷϕετϓϥΫςΟεΛ ࣮ફ͠Α͏
21. *".Ξϯνύλʔϯ  ϧʔτΞΧ΢ϯτ IAMϢʔβʔ ೔ৗతͳϧʔτΞΧ΢ϯτͷར༻ IAMϢʔβʔͷڞ༗
22. *".ϕετϓϥΫςΟε  ਓʹ͖ͭɺͭͷ*".Ϣʔβʔ
23. *".ϕετϓϥΫςΟε  "ENJOJTUSBUPST 7JFXFS &$"ENJO *".άϧʔϓͷར༻
24. *".ϕετϓϥΫςΟε  .'"ͷར༻ "84ίϯιʔϧ΁ͷϩάΠϯ .'"σόΠε
25. .'"σόΠε  ෺ཧ.'"σόΠε Ծ૝.'"σόΠε ෺ཧతͳִ཭͕Մೳ
    "ి஑੾Ε ಋೖ͕؆୯
    "౷੍͕औΓͮΒ͍
26. *".Ξϯνύλʔϯ  &$΁ͷ*".Ωʔͷొ࿥ "84
    $-*ɺ4%,ͷ࣮ߦ ϑΝΠϧΞοϓόοΫΞοϓ Ωʔ৘ใ͕ॻ͔ΕͨϓϩάϥϜɺ ઃఆϑΝΠϧΛγΣΞ
    ˠ
    ࿙Ӯ
27. *".ϕετϓϥΫςΟε  *".ϩʔϧͷར༻ Ωʔͷొ࿥͕ෆཁ ϑΝΠϧΞοϓϩʔυ ىಈதͷ&$΁ͷׂΓ౰ͯɺ
    ׂΓ౰ͯղআ͕Մೳ
28. *".ϕετϓϥΫςΟε  IAMͷఆظతͳݟ௚͠
29. ҟಈͳͲʹ͋Θͤͨ*".ͷมߋ  *".Ϣʔβʔͷ௥Ճ࡟আɺ*".Ωʔͷ࡟আ ҟಈ ୀ৬ ݕূΩʔͷ࡟আ
30. *".ೝূ৘ใϨϙʔτ  $47ϑΝΠϧͷμ΢ϯϩʔυ͕Մೳ $47ϑΝΠϧ QBTTXPSE@FOBCMFEϩάΠϯͷ༗ޮແޮ NGB@BDUJWF.'"ͷ༗ޮແޮ QBTTXPSE@MBTU@VTFE࠷ऴϩάΠϯ࣌ࠁ BDDFTT@LFZ@@MBTU@VTFE@EBUF࠷ऴΞΫηεΩʔར༻࣌ࠁ
31. *".ೝূ৘ใϨϙʔτ  .'"͕༗ޮͰͳ͍ΞΧ΢ϯτ $47ϑΝΠϧ QBTTXPSE@FOBCMFE5SVF ϩάΠϯՄೳ NGB@BDUJWF'BMTF .'"ແޮ QBTTXPSE@MBTU@VTFE࠷ऴϩάΠϯ࣌ࠁ BDDFTT@LFZ@@MBTU@VTFE@EBUF࠷ऴΞΫηεΩʔར༻࣌ࠁ
32. *".ೝূ৘ใϨϙʔτ  Ұఆظؒར༻͞Ε͍ͯͳ͍ΞΧ΢ϯτ $47ϑΝΠϧ QBTTXPSE@FOBCMFEϩάΠϯͷ༗ޮແޮ NGB@BDUJWF.'"ͷ༗ޮແޮ QBTTXPSE@MBTU@VTFE࠷ऴϩάΠϯ࣌ࠁ BDDFTT@LFZ@@MBTU@VTFE@EBUF࠷ऴΞΫηεΩʔར༻࣌ࠁ
33. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    wূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍
34. "84
    $MPVE5SBJM  "84Ͱ࣮ߦ͞Εͨ"1*ΛϩΪϯά ૹ৴ݩ*1ΞυϨε Կ͕͋ͬͨͷ͔ɺͳ͔ͬͨͷ͔Λ֬ೝ ࣌ؒ Ϣʔβʔ ΞΫγϣϯ
35. "84
    $POpH  "84ͷߏ੒ه࿥ ਓ͕ݟͯΘ͔Γ΍͍͢ "84Ϧιʔεͷ࡞੒มߋΛه࿥ λΠϜϥΠϯͰදࣔ
36. "84
    $POpHͷλΠϜϥΠϯ  ྫɿηΩϡϦςΟάϧʔϓͷλΠϜϥΠϯ &$΁ͷׂΓ౰ͯ
    ʢϦϨʔγϣϯγοϓͷมߋʣ "84ϦιʔεͷมߋཤྺΛ௥੻Ͱ͖Δ ϧʔϧͷมߋ
    ʢઃఆͷมߋʣ 'SPN 5P
37. "84
    $POpHͱ&$
    4ZTUFNT
    .BOBHFSͷ࿈ܞ  04Ξοϓσʔτʹ͍ͭͯ΋௥੻Մೳ ྫɿΧʔωϧΞοϓσʔτͷه࿥ 44.ΤʔδΣϯτͷΠϯετʔϧ͕ඞཁ ྫ Χʔωϧͷόʔδϣϯ͕ˠʹΞοϓσʔτ Πϯετʔϧ೔࣌
38. ֤αʔϏεͷϩά༗ޮԽ  &-#ʢϩʔυόϥϯαʔʣ
    $MPVE'SPOUʢ$%/ʣ 4ʹϩά഑৴ αϙʔτ΁ͷ໰͍߹Θͤʹඞཁ
39. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍
40. ੹೚ڞ༗Ϟσϧ  "84ͷηΩϡϦςΟ
    
    "84ͱϢʔβʔ͕࿈ܞͯ͠ୡ੒ "84ͷ୲౰
    
    Ϋϥ΢υͷηΩϡϦςΟ Ϣʔβʔͷ୲౰
    
    Ϋϥ΢υ಺ͷηΩϡϦςΟ
    αʔϏεʹΑͬͯɺ୲౰ൣғ͕ҟͳΔ
41. ΠϯϑϥετϥΫνϟαʔϏεʢ&$౳ʣ  ސ٬σʔλ ϓϥοτϑΥʔϜͱ
    ΞϓϦέʔγϣϯͷ؅ཧ 04ɺωοτϫʔΫɺ
    ϑΝΠΞ΢Υʔϧߏ੒ ҉߸Խɺ੔߹ੑ Ϣʔβʔͷ୲౰ "84ͷ୲౰ ج൫αʔϏε "84άϩʔόϧ
    ΠϯϑϥετϥΫνϟ
42. ୲౰ͷྫᶃ  σΟεΫͷഇغ "84
43. ୲౰ͷྫᶄ  04ɺϛυϧ΢ΣΞͷόʔδϣϯΞοϓ Ϣʔβʔ
44. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w&$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍
45. ৴པͰ͖Δ".*Λ࢖͏  ىಈ EC2 AMI AMI͸୭Ͱ΋ެ։Մೳ AWS΍৴པͰ͖Δϕϯμ͕ఏڙ͢ΔAMIΛར༻ "AMI IDΛΑ֬͘ೝͤͣʹར༻
46. ৴པͰ͖Δ".*Λ࢖͏
    
    8JOEPXTͷྫ  ॴ༗ऀ=AmazonΠϝʔδ ྫɿ8JOEPXT
    4FSWFS
    
    3 ೔ຊޠ ͷݕࡧ ϓϥοτϑΥʔϜ=Windows AMI໊=Windows-Server-2012-R2_RTM-Japanese
47. ඞཁͳ௨৴ͷΈڐՄ  ϓϩτίϧ ૹ৴ݩ 44) ϝϯςφϯεڌ఺ )551  ෆཁͳϓϩτίϧ͸ϒϩοΫ ؅ཧ༻ΞΫηε͸઀ଓݩΛߜΔ ड৴ ϓϩτίϧ ૹ৴ݩ "--  ૹ৴ ཁ݅ʹԠ੍ͯ͡ޚ ※ NTP, AWS API, ύονద༻ͳͲʹ஫ҙ
48. ࠷৽ͷ04ɺϛυϧ΢ΣΞΛ࢖͏  EC2 ϓϥοτϑΥʔϜ਍அ *OTQFDUPS ϕϯμ "
    αϙʔτظݶ͕੾Εͨ04ɿύον͕ఏڙ͞Εͳ͍
    "
    ݹ͍ϛυϧ΢ΣΞɿ੬ऑੑ͕͋ΔՄೳੑ
    
    ఆظతʹ04ɺϛυϧ΢ΣΞΛΞοϓσʔτ
    
    "NB[PO
    *OTQFDUPS౳Ͱఆظతʹ਍அ
49. ࠷৽ͷΞϓϦέʔγϣϯΛ࢖͏  EC2 ΞϓϦέʔγϣϯ਍அ ϕϯμ "
    ݹ͍ΞϓϦέʔγϣϯʹ͸੬ऑੑ͕͋Δ͜ͱ͕ଟ͍
    
    ઐ໳ͷϕϯμʔʹґཔ͠ఆظతʹ਍அɺमਖ਼
    ϕϯμʹґཔ͢Δࡍ͸ɺ"84ʹ৵ೖςετਃ੥͕ඞཁ
50. Ϛϧ΢ΣΞରࡦ  EC2
    ΢ΠϧεεύϜରࡦιϑτ΢ΣΞͷಋೖ
    
    ϗετํࣜͷ*%4ιϑτ΢ΣΞͷಋೖ
51. ϒϥοΫϦετొ࿥  71$
    4VCOFU 71$
    4VCOFU /FUXPSL
    "$- 71$αϒωοτ୯Ґʹઃఆ
    ϧʔϧͷ্ݶ਺͕গͳ͍ "84
    8"' $MPVE'SPOU·ͨ͸"-#ʹઃఆ
    ϧʔϧ্ݶ਺͕ଟ͍
52. ಛఆͷࠃ͔Βͷ઀ଓͷϒϩοΫ  "NB[PO
    $MPVE'SPOU
    ಛఆͷࠃ͔Βͷ߈ܸ͕ೝΊΒΕΔέʔεͰ͸༗ޮ
    "
    (FP*1͸ඞͣ͠΋ਖ਼֬Ͱ͸ͳ͍ (FP*1ʹΑΔࠃ͝ͱͷڐՄڋ൱
53. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    wϚωʔδυαʔϏεͷݕ౼
    w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍
54. ϚωʔδυαʔϏεͷݕ౼
     WEBαʔόͰ͸ ELBΛݕ౼
55. &-#Λ࢖͏ϝϦοτ  44-ऴ୺ 4:/ϑϥου 0QFO44-ͳͲ͕ෆཁ 6QEBUF
    ༗ޮͳ5$1ϦΫΤετͷΈαϙʔτ
    
    )5514ʹඞཁͳ44-λʔϛωʔτΛ&-#ʹΦϑϩʔυ
    
    &$ͷϩʔϦϯάΞοϓσʔτ͕Մೳ
56. ϚωʔδυαʔϏεͷݕ౼
     DBαʔόͰ͸ RDSΛݕ౼
57. ίϯςφαʔϏεʢ3%4౳ʣ  ސ٬σʔλ ϓϥοτϑΥʔϜͱ
    ΞϓϦέʔγϣϯͷ؅ཧ ϑΝΠΞ΢Υʔϧߏ੒ ҉߸Խɺ੔߹ੑ Ϣʔβʔͷ୲౰ "84ͷ୲౰ ج൫αʔϏε "84άϩʔόϧ
    ΠϯϑϥετϥΫνϟ 04ɺωοτϫʔΫߏ੒
58. 3%4ͷ04ɺϓϥοτϑΥʔϜ؅ཧ  ϝϯςφϯεϑϦʔͰ͸ແ͍ Ϣʔβʔͷ୲౰ൣғ ϝϯςφϯε΢Οϯυ΢ʢि࣍ͷϝϯςφϯε࣌ؒʣͷࢦఆ ৑௕Խ/γϯάϧߏ੒ ※ ຊ൪؀ڥ͸৑௕ԽΛਪ঑ ϝϯςφϯε࣮ࢪλΠϛϯάͷࢦఆ AWS͔Βͷϝʔϧͷ֬ೝ ͳͲ
59. 3%4ͷϝϦοτ 
    3%4
    ৑௕Խ͕؆୯
    
    %#Τϯδϯɺ04ͷߋ৽͕؆୯
    
    όοΫΞοϓɺϦετΞ͕؆୯
    ઐ໳஌͕ࣝඞཁͳ࡞ۀΛ؆୯ʹ࣮ࢪՄೳ
60. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    wαʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍
61. ੩తͳ8FCαΠτʢ4
    
    $MPVE'SPOUʣ 
    $MPVE'SPOU
    4 Ωϟογϡ ௿ίετ Ϣʔβʔ͸ύονద༻Λҙࣝ͠ͳͯ͘ྑ͍ ੈքதʹ͋ΔΤοδϩέʔγϣϯ
    ʢΩϟογϡαʔόʔʣ
    
62. ந৅ԽαʔϏεʢ4ͳͲʣ  ސ٬σʔλ ϓϥοτϑΥʔϜͱ
    ΞϓϦέʔγϣϯͷ؅ཧ ҉߸Խɺ੔߹ੑ Ϣʔβʔͷ୲౰ "84ͷ୲౰ ج൫αʔϏε "84άϩʔόϧ
    ΠϯϑϥετϥΫνϟ 04ɺωοτϫʔΫߏ੒ S3ઃఆ͸Ϣʔβʔͷ୲౰
63. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    w Ϋϥ΢υωΠςΟϰͳΞʔΩςΫνϟͷ࠾༻
    wิ଍
64. "84
    5SVTUFE
    "EWJTPSΛ࢖ͬͨϨϏϡʔ  ηΩϡϦςΟάϧʔϓ - ແ੍ݶΞΫηε CloudTrailͷར༻ঢ়گ S3ͷόέοτڐՄ ͳͲ
65. "84͔Βͷ࿈བྷΛແࢹ͠ͳ͍  ҧ๏ߦҝͷ௨஌ εύϜϝʔϧͷૹ৴ DDoS΁ͷՃ୲ ϝϯςφϯε ηΩϡϦςΟΠϯγσϯτ IAM৘ใ࿙ӮͷՄೳੑ
66. ҧ๏ߦҝͷ௨஌Λड͚औͬͨΒ  εύϜϝʔϧͷྫ ΦʔϓϯϦϨʔͷՄೳੑ DDoS߈ܸՃ୲ͷྫ EC2Λִ཭͠ɺඞཁͳσʔλΛൈ͖ग़͢ ΫϦʔϯͳEC2ʹσϓϩΠ ҧ๏ߦҝͷϦεΫ AWSΞΧ΢ϯτɺΠϯελϯεͷఀࢭ ࣾձతͳ৴༻௿Լ ૌু
67. ڴҖ෼ੳ  w ׬ᘳͳηΩϡϦςΟରࡦ͸ଘࡏ͠ͳ͍
    w ݸʑͷγεςϜ๊͕͑ΔϦεΫΛચ͍ग़͢
    w ༏ઌ౓͕ߴ͍΋ͷ͔ΒରԠ
68. ·ͱΊᶃ  ηΩϡϦςΟͷ3େཁ݅ ػີੑɺ׬શੑɺՄ༻ੑ IAM͸ॏཁ 3େཁ͕݅ଛͳΘΕΔՄೳੑ IAMϕετϓϥΫςΟεʹै͍ɺఆظతʹݟ௚͢ ূ੻ͷऔಘ AWS CloudTrailɺAWS ConfigΛ༗ޮԽ AWSͷηΩϡϦςΟ͸ϢʔβͱAWS͕ڠྗͯ͠ରԠ
69. ·ͱΊᶄ  EC2ͷηΩϡϦςΟͷجຊ AWSͳΒͰ͸ͷରࡦ + ҰൠతͳηΩϡϦςΟ׳ߦ ϚωʔδυαʔϏεͷݕ౼ αʔόϨεΞʔΩςΫνϟͷݕ౼ Ϣʔβʔͷ୲౰ൣғΛॖখ͠ɺָΛ͢Δ ׬ᘳͳηΩϡϦςΟରࡦ͸ଘࡏ͠ͳ͍