ここからはじめるAWSセキュリティ -Developers.IO 2017 WORLD in 名古屋-

Developers.IO 2017 WORLD in 名古屋

Transcript

1. ͔͜͜Β͸͡ΊΔ"84ηΩϡϦςΟ Ϋϥεϝιου
   Ѩ෦ᔨथ DNEFWJP
2. ͓఻͍͑ͨ͜͠ͱ  ᶅηΩϡϦςΟରࡦͰָΛ͢ΔͨΊͷख๏ ᶃ৘ใηΩϡϦςΟͱ͸Կ͔ ᶄAWSηΩϡϦςΟͷجຊ ηΩϡϦςΟͱ͍͏ݴ༿͸ࡍݶͳ͘࢖ΘΕ͕ͪ AWS΍ฐࣾͷϕετϓϥΫςΟεʹج͍ͮͨରࡦ ੹೚ڞ༗Ϟσϧ ηΩϡϦςΟΛࢧԉ͢ΔαʔϏε
3. ΞδΣϯμ  w৘ใηΩϡϦςΟͱ͸
   w *".ͷॏཁੑͱϕετϓϥΫςΟε
   w ূ੻ͷऔಘ
   w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
   w &$ͷηΩϡϦςΟϕετϓϥΫςΟε
   w ϚωʔδυαʔϏεͷݕ౼
   w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
   w ิ଍ͱ·ͱΊ
4. ৘ใηΩϡϦςΟͱ͸  ̏େཁ݅ɺ̏ཁૉͱ΋ݺ͹ΕΔ ػີੑʢ$POpEFOUJBMJUZʣ ׬શੑʢ*OUFHSJUZʣ Մ༻ੑʢ"WBJMBCJMJUZʣ ༷ʑͳڴҖ͔Βɺ৘ใࢿ࢈Λ
   ػີੑɺ׬શੑɺՄ༻ੑͷ֬อΛߦ͍ͭͭɺ
   ਖ਼ৗʹҡ࣋͢Δ͜ͱ
5. ػີੑ  ৘ใࢿ࢈Λਖ਼౰ͳݖརΛ࣋ͬͨਓ͚͕ͩ ࢖༻Ͱ͖Δঢ়ଶʹ͓ͯ͘͜͠ͱ
6. ػີੑ͕ଛͳΘΕͨঢ়ଶ  څ༩৘ใ Ӧۀσʔλ ਓࣄ෦ Ӧۀ෦
7. ػີੑ͕ଛͳΘΕͨঢ়ଶ  څ༩৘ใ Ӧۀσʔλ ਓࣄ෦ Ӧۀ෦ ϑΝΠϧαʔόઃఆͷޡΓ
8. ػີੑ͕ଛͳΘΕͨঢ়ଶ  ഇغґཔ ۀऀ
9. ػີੑ͕ଛͳΘΕͨঢ়ଶ  ഇغґཔ ୈࡾऀ΁ͷԣྲྀ͠ ۀऀ ਖ਼ৗͳϓϩηε͔Βͷҳ୤
10. ػີੑ͕ଛͳΘΕͨঢ়ଶ  ਖ਼ৗͳ௨৴ ̋̋ͷϗʔϜϖʔδ ҰൠϢʔβʔ ѱҙͷ͋Δ௨৴ ੬ऑੑͷ͋Δ
    ΞϓϦέʔγϣϯ
11. ׬શੑ  ৘ใࢿ࢈͕ਖ਼౰ͳݖརΛ࣋ͨͳ͍ਓʹΑΓมߋ͞Ε ͍ͯͳ͍͜ͱΛ࣮֬ʹ͓ͯ͘͜͠ͱ
12. ׬શੑ͕ଛͳΘΕͨঢ়ଶ  ̋̋ͷϗʔϜϖʔδ 8FCվ͟Μ ίϯςϯπͷվ͟Μ Ϛϧ΢ΣΞ഑෍͢ΔڪΕ
    
    ˠҙਤͤͣɺ໎࿭ߦҝΛߦ͏Մೳੑ
13. Մ༻ੑ  ৘ใࢿ࢈Λඞཁͳͱ͖ʹ࢖༻Ͱ͖Δ͜ͱ
14. Մ༻ੑ͕ଛͳΘΕͨঢ়ଶ  ̋̋ͷϗʔϜϖʔδ %%P4߈ܸ ਖ਼౰ͳϢʔβʔ Ϙοτωοτ
15. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w*".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍ͱ·ͱΊ
16. *".ͷॏཁੑ  IAMͷྲྀग़΍ѱ༻͸ 3େཁ͕݅ଛͳΘΕΔ Մೳੑ͕͋Δ
17. ػີੑ͕ଛͳΘΕͨঢ়ଶ  ෆਖ਼μ΢ϯϩʔυ 4όέοτ
18. ׬શੑ͕ଛͳΘΕͨঢ়ଶ  ઃఆมߋ
19. Մ༻ੑ͕ଛͳΘΕͨঢ়ଶ  EC2ͷఀࢭ/࡟আ &$Πϯελϯε
20. *".Λѱ༻͞Εͳ͍ͨΊʹ  IAMͷϕετϓϥΫςΟεΛ ࣮ફ͠Α͏ IAM ͷϕετϓϥΫςΟε http://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/best-practices.html
21. *".Ξϯνύλʔϯ  ϧʔτΞΧ΢ϯτ IAMϢʔβʔ ೔ৗతͳϧʔτΞΧ΢ϯτͷར༻ IAMϢʔβʔͷڞ༗
22. *".ϕετϓϥΫςΟε  ਓʹ͖ͭɺͭͷ*".Ϣʔβʔ
23. *".ϕετϓϥΫςΟε  "ENJOJTUSBUPST 7JFXFS &$"ENJO *".άϧʔϓͷར༻
24. *".ϕετϓϥΫςΟε  .'"ͷར༻ "84ίϯιʔϧ΁ͷϩάΠϯ .'"σόΠε
25. *".Ξϯνύλʔϯ  &$΁ͷ*".Ωʔͷొ࿥ "84
    $-*ɺ4%,ͷ࣮ߦ ϑΝΠϧΞοϓόοΫΞοϓ Ωʔ৘ใ͕ॻ͔ΕͨϓϩάϥϜɺ ઃఆϑΝΠϧΛγΣΞ
    ˠ
    ࿙Ӯ
26. *".ϕετϓϥΫςΟε  *".ϩʔϧͷར༻ Ωʔͷొ࿥͕ෆཁ ىಈதͷ&$΁ͷׂΓ౰ͯɺ
    ׂΓ౰ͯղআ͕Մೳ ϑΝΠϧΞοϓόοΫΞοϓ /FX
    
27. *".ϕετϓϥΫςΟε  IAMͷఆظతͳݟ௚͠
28. ҟಈͳͲʹ͋Θͤͨ*".ͷมߋ  *".Ϣʔβʔͷ௥Ճ࡟আɺ*".Ωʔͷ࡟আ ҟಈ ୀ৬ ݕূΩʔͷ࡟আ
29. "84αʔϏεΛ࢖ͬͨݟ௚͠  IAMೝূ৘ใϨϙʔτ CSVܗࣜͷϨϙʔτ Trusted Advisor ίετɺύϑΥʔϚϯεɺηΩϡϦςΟɺ৑௕ੑʹؔ͢ΔΞυόΠε AWS Config Rules ΧελϜϧʔϧΛ࡞੒Մೳ ఆظతʹνΣοΫ͍ͨ͠αʔϏε IAMίϯιʔϧ ઃఆঢ়گͷ֬ೝ AWSϦιʔε͕ϧʔϧʹԊͬͯ࡞੒͞Ε͍ͯΔ͔νΣοΫ
30. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    wূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍ͱ·ͱΊ
31. "84
    $MPVE5SBJM  "84Ͱ࣮ߦ͞Εͨ"1*ΛϩΪϯά ૹ৴ݩ*1ΞυϨε Կ͕͋ͬͨͷ͔ɺͳ͔ͬͨͷ͔Λ֬ೝ ࣌ؒ Ϣʔβʔ ΞΫγϣϯ 165
32. "84
    $POpH  "84ͷߏ੒ه࿥ ਓ͕ݟͯΘ͔Γ΍͍͢ "84Ϧιʔεͷ࡞੒มߋΛه࿥ λΠϜϥΠϯͰදࣔ
33. "84
    $POpHͷλΠϜϥΠϯ  ྫɿηΩϡϦςΟάϧʔϓͷλΠϜϥΠϯ &$΁ͷׂΓ౰ͯ
    ʢϦϨʔγϣϯγοϓͷมߋʣ "84ϦιʔεͷมߋཤྺΛ௥੻Ͱ͖Δ ϧʔϧͷมߋ
    ʢઃఆͷมߋʣ 'SPN 5P
34. "84
    $POpHͱ&$
    4ZTUFNT
    .BOBHFSͷ࿈ܞ  04Ξοϓσʔτʹ͍ͭͯ΋௥੻Մೳ ྫɿΧʔωϧΞοϓσʔτͷه࿥ 44.ΤʔδΣϯτͷΠϯετʔϧ͕ඞཁ ྫ Χʔωϧͷόʔδϣϯ͕ˠʹΞοϓσʔτ Πϯετʔϧ೔࣌
35. ֤αʔϏεͷϩά༗ޮԽ  &-#ʢϩʔυόϥϯαʔʣ ϩάͷղੳྫʣ 4ʹΞΫηεϩάΛ165 "NB[PO
    "UIFOBʹΑΔղੳ 42-ΫΤϦ࣮ߦ $MPVE'SPOUʢ$%/ʣ αϙʔτ΁ͷ໰͍߹Θͤʹඞཁ 165 ղੳ
36. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍ͱ·ͱΊ
37. ੹೚ڞ༗Ϟσϧ  "84ͷηΩϡϦςΟ
    
    "84ͱϢʔβʔ͕࿈ܞͯ͠ୡ੒ "84ͷ୲౰
    
    Ϋϥ΢υͷηΩϡϦςΟ Ϣʔβʔͷ୲౰
    
    Ϋϥ΢υ಺ͷηΩϡϦςΟ
    αʔϏεͷछྨ͝ͱʹɺ୲౰ൣғ͕ҟͳΔ ΠϯϑϥετϥΫνϟαʔϏε ίϯςφαʔϏε ந৅ԽαʔϏε
38. ΠϯϑϥετϥΫνϟαʔϏεʢ&$౳ʣ  ސ٬σʔλ ϓϥοτϑΥʔϜͱ
    ΞϓϦέʔγϣϯͷ؅ཧ 04ɺωοτϫʔΫɺ
    ϑΝΠΞ΢Υʔϧߏ੒ ҉߸Խɺ੔߹ੑ Ϣʔβʔͷ୲౰ "84ͷ୲౰ ج൫αʔϏε "84άϩʔόϧ
    ΠϯϑϥετϥΫνϟ ࢀߟ: AWS ηΩϡϦςΟͷϕετ ϓϥΫςΟε
39. ୲౰ͷྫᶃ  σΟεΫͷഇغ "84 ηΩϡϦςΟϓϩηεͷ֓ཁ
    ʢϗϫΠτϖʔύʔʣ Amazon Web Services: Overview of Security Processes August 2016
40. ୲౰ͷྫᶄ  04ɺϛυϧ΢ΣΞͷόʔδϣϯΞοϓ Ϣʔβʔ ఆظతͳύονద༻ ৘ใऩू ૊৫಺प஌ "NB[PO
    -JOVY
    ".*
    4FDVSJUZ
    $FOUFS 5XJUUFSͷΑ͏ͳ4/4 ϓϥοτϑΥʔϜ਍அ ਂࠁͳ੬ऑੑ΁ͷରԠ ύονద༻
41. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w&$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍
42. "84ηΩϡϦςΟͷϕετϓϥΫςΟε  AWSͷϗϫΠτϖʔύʔ
43. ৴པͰ͖Δ".*Λ࢖͏  ىಈ EC2 AMI AMI͸୭Ͱ΋ެ։Մೳ AWS΍৴པͰ͖Δϕϯμ͕ఏڙ͢ΔAMIΛར༻ "AMI IDΛΑ֬͘ೝͤͣʹར༻
44. ৴པͰ͖Δ".*Λ࢖͏
    
    8JOEPXTͷྫ  ॴ༗ऀ=AmazonΠϝʔδ ྫɿ8JOEPXT
    4FSWFS
    
    3 ೔ຊޠ ͷݕࡧ ϓϥοτϑΥʔϜ=Windows AMI໊=Windows-Server-2012-R2_RTM-Japanese
45. ඞཁͳ௨৴ͷΈڐՄ  ϓϩτίϧ ૹ৴ݩ 44) ϝϯςφϯεڌ఺ )551  ෆཁͳϓϩτίϧ͸ϒϩοΫ ؅ཧ༻ΞΫηε͸઀ଓݩΛߜΔ ड৴ ϓϩτίϧ ૹ৴ݩ "--  ૹ৴ ཁ݅ʹԠ੍ͯ͡ޚ ※ NTP, AWS API, ύονద༻ͳͲʹ஫ҙ
46. ࠷৽ͷ04ɺϛυϧ΢ΣΞΛ࢖͏  EC2 ϓϥοτϑΥʔϜ਍அ *OTQFDUPS ϕϯμ "
    αϙʔτظݶ͕੾Εͨ04ɿύον͕ఏڙ͞Εͳ͍
    "
    ݹ͍ϛυϧ΢ΣΞɿ੬ऑੑ͕͋ΔՄೳੑ
    
    ఆظతʹ04ɺϛυϧ΢ΣΞΛΞοϓσʔτ
    
    ఆظతͳϓϥοτϑΥʔϜ਍அ
47. ࠷৽ͷΞϓϦέʔγϣϯΛ࢖͏  EC2 ΞϓϦέʔγϣϯ਍அ ϕϯμ "
    ݹ͍ΞϓϦέʔγϣϯʹ͸੬ऑੑ͕͋Δ͜ͱ͕ଟ͍
    
    ఆظతͳΞϓϦέʔγϣϯ਍அ
    ϕϯμʹґཔ͢Δࡍ͸ɺ"84ʹ৵ೖςετਃ੥͕ඞཁ
48. Ϛϧ΢ΣΞରࡦ  EC2
    ΢ΠϧεεύϜରࡦιϑτ΢ΣΞͷಋೖ
    
    ϗετํࣜͷ*%4ιϑτ΢ΣΞͷಋೖ
49. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    wϚωʔδυαʔϏεͷݕ౼
    w αʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍ͱ·ͱΊ
50. ϚωʔδυαʔϏεͷݕ౼
     DBαʔόͰ͸ RDSΛݕ౼
51. ίϯςφαʔϏεʢ3%4౳ʣ  ސ٬σʔλ ϓϥοτϑΥʔϜͱ
    ΞϓϦέʔγϣϯͷ؅ཧ ϑΝΠΞ΢Υʔϧߏ੒ ҉߸Խɺ੔߹ੑ Ϣʔβʔͷ୲౰ "84ͷ୲౰ ج൫αʔϏε "84άϩʔόϧ
    ΠϯϑϥετϥΫνϟ 04ɺωοτϫʔΫߏ੒ ࢀߟ: AWS ηΩϡϦςΟͷϕετ ϓϥΫςΟε
52. 3%4ͷ04ɺϓϥοτϑΥʔϜ؅ཧ  ϝϯςφϯεϑϦʔͰ͸ແ͍ Ϣʔβʔͷ୲౰ൣғ ϝϯςφϯε΢Οϯυ΢ʢि࣍ͷϝϯςφϯε࣌ؒʣͷࢦఆ ৑௕Խ/γϯάϧߏ੒ ※ ຊ൪؀ڥ͸৑௕ԽΛਪ঑ ϝϯςφϯε࣮ࢪλΠϛϯάͷࢦఆ AWS͔Βͷϝʔϧͷ֬ೝ ͳͲ
53. 3%4ͷϝϦοτ 
    3%4
    ৑௕Խ͕؆୯
    
    %#Τϯδϯɺ04ͷߋ৽͕؆୯
    
    όοΫΞοϓɺϦετΞ͕؆୯
    ઐ໳஌͕ࣝඞཁͳ࡞ۀΛ؆୯ʹ࣮ࢪՄೳ
54. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    wαʔόʔϨεΞʔΩςΫνϟͷݕ౼
    w ิ଍ͱ·ͱΊ
55. ੩తͳ8FCαΠτʢ4
    
    $MPVE'SPOUʣ 
    $MPVE'SPOU
    4 Ωϟογϡ ௿ίετ Ϣʔβʔ͸ύονద༻Λҙࣝ͠ͳͯ͘ྑ͍ ੈքதʹ͋ΔΤοδϩέʔγϣϯ
    ʢΩϟογϡαʔόʔʣ
    
56. ந৅ԽαʔϏεʢ4ͳͲʣ  ސ٬σʔλ ϓϥοτϑΥʔϜͱ
    ΞϓϦέʔγϣϯͷ؅ཧ ҉߸Խɺ੔߹ੑ Ϣʔβʔͷ୲౰ "84ͷ୲౰ ج൫αʔϏε "84άϩʔόϧ
    ΠϯϑϥετϥΫνϟ 04ɺωοτϫʔΫߏ੒ S3ઃఆ͸Ϣʔβʔͷ୲౰ ࢀߟ: AWS ηΩϡϦςΟͷϕετ ϓϥΫςΟε
57. ΞδΣϯμ  w ৘ใηΩϡϦςΟͱ͸
    w *".ͷॏཁੑͱϕετϓϥΫςΟε
    w ূ੻ͷऔಘ
    w ੹೚ڞ༗ϞσϧͰߟ͑Δ໾ׂ෼୲
    w &$ͷجຊతͳηΩϡϦςΟରࡦ
    w ϚωʔδυαʔϏεͷݕ౼
    w Ϋϥ΢υωΠςΟϰͳΞʔΩςΫνϟͷ࠾༻
    wิ଍ͱ·ͱΊ
58. "84͔Βͷ࿈བྷΛແࢹ͠ͳ͍  ҧ๏ߦҝͷ௨஌ εύϜϝʔϧͷૹ৴ DDoS΁ͷՃ୲ ϝϯςφϯε৘ใ ηΩϡϦςΟΠϯγσϯτ IAM৘ใ࿙ӮͷՄೳੑ S3όέοτͷΞΫηεઃఆʹؔ͢Δ஫ҙשى S3όέοτͷΞΫηεઃఆ
59. ҧ๏ߦҝͷ௨஌Λड͚औͬͨΒ  εύϜϝʔϧͷྫ ΦʔϓϯϦϨʔͷՄೳੑ DDoS߈ܸՃ୲ͷྫ Ϛϧ΢ΣΞײછͷ͍͕ٙ͋ΔͷͰɺΠϯελϯε͸ഁغ ΫϦʔϯͳEC2ʹσϓϩΠ ҧ๏ߦҝͷϦεΫ AWSΞΧ΢ϯτɺΠϯελϯεͷఀࢭ ࣾձతͳ৴༻௿Լ ૌু
60. ·ͱΊᶃ
    "84ηΩϡϦςΟͷجຊ  ηΩϡϦςΟͷ3େཁ݅ ػີੑɺ׬શੑɺՄ༻ੑ IAM͸ॏཁ 3େཁ͕݅ଛͳΘΕΔՄೳੑ ূ੻ͷऔಘ AWS CloudTrailɺAWS ConfigΛ༗ޮԽ ੹೚ڞ༗Ϟσϧ AWSͷηΩϡϦςΟ͸ϢʔβͱAWS͕ڠྗͯ͠ରԠ
61. ·ͱΊᶄ
    ηΩϡϦςΟରࡦͰָΛ͢ΔͨΊʹ  ϚωʔδυαʔϏεͷݕ౼ αʔόϨεΞʔΩςΫνϟͷݕ౼ Ϣʔβʔͷ୲౰ൣғΛॖখ͢Δ AWS΍৴པͰ͖Δ૊৫ͷϕετϓϥΫςΟεʹै͏ IAMϕετϓϥΫςΟε AWSͷηΩϡϦςΟϕετϓϥΫςΟε AWSαʔϏε΍֎෦ϕϯμʔͷαʔϏεΛ࢖ͬͨ਍அɺݟ௚͠ IAMೝূ৘ใϨϙʔτɺTrusted AdvisorɺAWS Config Rules ϓϥοτϑΥʔϜ਍அɺΞϓϦέʔγϣϯ਍அ